Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est Gaël Hennart EI, dont les coordonnées complètes figurent dans les mentions légales.

Contact pour toute question relative aux données personnelles : contact@kovasport.fr.

Le responsable du traitement assure lui-même le rôle de point de contact pour la protection des données. La désignation d'un délégué à la protection des données (DPO) n'est pas obligatoire ici : le traitement n'entre dans aucun des cas de l'article 37 du RGPD.

2. Données collectées

Kova ne collecte que des données que tu saisis ou que le fonctionnement du service impose. Il n'y a ni traceur publicitaire, ni revente de données, ni profilage à des fins commerciales.

2.1 Compte et identité

• Adresse e-mail : identifiant de connexion, confirmée par un lien envoyé à l'inscription.
• Mot de passe : stocké haché par le fournisseur d'authentification. Il n'est jamais lisible, ni par nous ni par personne.
• Identité Google ou Apple : uniquement si tu choisis de te connecter avec l'un d'eux, dans l'application ou sur ce site : identifiant de compte, adresse e-mail vérifiée et, la première fois, prénom et nom transmis par le fournisseur. Avec Apple, l'adresse peut être un relais anonyme fourni par Apple.

2.2 Profil

• Prénom, nom, photo de profil.
• Sport principal, description libre, fuseau horaire.
• Année de naissance et sexe, facultatifs : tu peux les laisser vides, et les retirer à tout moment depuis ton profil. Ils ne sont jamais affichés aux autres utilisateurs ni transmis à un tiers, et servent uniquement à établir des statistiques globales sur les personnes qui utilisent Kova.

2.3 Données d'entraînement

C'est le cœur du service. Kova enregistre le programme d'entraînement, et lui seul :

• Séances planifiées : titre, date, distance et durée prévues, type d'effort, couleur.
• Consignes écrites par le coach : la consigne générale visible du groupe, et la consigne personnelle visible du seul athlète concerné et de son coach.
• Composition des groupes et affectation des séances.
• Ce que l'athlète déclare après une séance : la distance réellement courue, l'effort ressenti sur une échelle de 1 à 10, un mot libre facultatif pour son coach, ou le motif d'une séance non faite.

Kova ne collecte pas de fréquence cardiaque, de trace GPS, ni de poids, ni de taille, ni d'historique de blessure. Aucun champ ne te demande de déclarer une douleur ou une blessure. Les seules mesures issues d'une montre sont celles que tu choisis de remonter en connectant Strava (§ 2.8), Health Connect (§ 2.9) ou Apple Santé (§ 2.10), et ni la fréquence cardiaque ni la trace n'en font partie.

En conséquence, Kova ne traite pas aujourd'hui, en tant que catégorie, de données concernant la santé au sens de l'article 9 du RGPD. Une réserve honnête s'impose toutefois : les consignes du coach et le mot libre de l'athlète sont des champs de texte libre, où l'un ou l'autre peut écrire une information de santé (« reprise après entorse », « douleur au genou »). Ces champs sont donc protégés au même niveau que le reste : accès restreint à l'athlète concerné et à ses coachs, et suppression avec le compte. Le mot libre de l'athlète n'est transmis au fournisseur d'intelligence artificielle qu'avec son accord explicite ; les consignes du coach le sont, noms retirés, quand le coach demande à Kai d'analyser la semaine de son groupe (§ 2.4).

2.4 Profil d'entraînement et génération de plans

Si tu demandes à Kai, l'assistant de Kova, de te proposer un plan d'entraînement, une page de contexte te demande ce qui permet de le calibrer :

• Ton objectif, écrit librement, la distance et, si tu le souhaites, le temps que tu vises.
• Tes disponibilités : jours de la semaine où tu peux courir, date de la course visée.
• Ton point de départ déclaré : nombre de séances et volume hebdomadaire que tu cours en ce moment, le nombre de séances de renforcement souhaité et, si tu le souhaites, tes records personnels (distance, temps et date de la performance, sans leur libellé).
• Deux notes en texte libre, facultatives, pour décrire ta pratique et ta situation.

Ces réponses sont visibles de toi uniquement : ni ton coach, ni les membres de tes groupes, ni ton profil public n'y ont accès. Elles sont supprimées avec ton compte.

Pour produire le plan, ces informations, avec l'historique de tes séances décrit ci-dessous, sont transmises à Google, le fournisseur du modèle d'intelligence artificielle qui le rédige (voir § 5). Ce qui est envoyé ne contient ni ton nom, ni ton adresse e-mail, ni ton identifiant de compte : le message est construit par notre serveur, champ par champ, et rien dedans ne permet de te désigner. Tes groupes, tes messages de groupe et tes messages directs ne sont pas envoyés.

Pour que le plan parte de ce que tu fais réellement, tes séances des quatre dernières semaines sont aussi transmises, sous la même forme sans nom ni identifiant. Pour chaque séance : ce qui était prévu, si elle a été faite ou manquée, la distance et le temps que tu as déclarés, et l'effort ressenti de 1 à 10. Aucune donnée venue de Strava n'est transmise à l'assistant : ni les mesures de ta montre, ni une distance ou un temps repris tels quels d'une sortie Strava. Si tu as connecté Health Connect ou Apple Santé, leurs mesures ne s'ajoutent que si tu as donné l'accord distinct décrit au § 2.9 et au § 2.10. Ni le titre de ces activités, ni le titre d'une séance que tu as écrite toi-même ne sont transmis. Lorsque tu demandes à Kai d'ajuster ton plan, les séances concernées et leur réalisation sont transmises de la même façon, et une modification proposée n'est appliquée que si tu la valides.

Le commentaire que tu écris sur une séance et le motif d'une séance manquée ne sont transmis que si tu l'as accepté dans les réglages (« Kai peut lire mes commentaires pour mon plan »). Ces textes pouvant parler de ta santé, cet accord est ton consentement explicite : il est daté, désactivé par défaut, et tu peux le retirer à tout moment. Sans lui, Kai ne reçoit que les chiffres.

Les deux notes en texte libre sont transmises telles que tu les as écrites. Nous ne te demandons pas d'y mentionner une douleur, une blessure ou un élément de santé, et le modèle a pour instruction de refuser de traiter ce sujet et de te renvoyer vers un professionnel de santé. Si tu préfères que rien de tel ne quitte nos serveurs, n'écris rien de tel dans ces champs : ils sont facultatifs.

Si ton coach demande à Kai d'analyser la semaine de son groupe, sont transmis, sans nom ni identifiant (chaque athlète devient « A1 », « A2 »…) : les séances de la semaine (type, durée, distance, effort ressenti, faite ou manquée) ainsi que leur titre et les consignes du coach, dont les noms des membres du groupe sont retirés. Ton mot libre et le motif d'une séance manquée ne sont transmis que si tu l'as accepté dans les réglages (« Kai peut lire mes ressentis pour mon coach »). Ces textes pouvant parler de ta santé, cet accord est ton consentement explicite : il est daté, désactivé par défaut, et tu peux le retirer à tout moment. La distance et le temps que tu as déclarés y figurent, sauf ceux repris tels quels d'une sortie Strava ; ceux repris de Health Connect ou d'Apple Santé n'y figurent qu'avec l'accord décrit au § 2.9 et au § 2.10.

Un plan proposé ne s'inscrit jamais seul dans ton calendrier : il t'est d'abord présenté, et rien n'est enregistré tant que tu ne l'as pas accepté. Aucune décision automatisée n'est prise à ton sujet.

Enfin, ce plan est une proposition d'entraînement. Il ne remplace ni un médecin, ni un entraîneur, et ne constitue en aucun cas un avis médical.

2.5 Contenus partagés

• Messages de discussion de groupe et messages directs.
• Sondages créés et votes exprimés.
• Composition des groupes, abonnements, comptes bloqués.
• Photos de groupe que tu téléverses.
• Signalements que tu fais ou qui te visent : le contenu ou le profil concerné, le motif, la précision éventuelle, et la décision de modération.

2.6 Abonnement et facturation

Uniquement si tu souscris une offre payante : l'offre et sa période, l'identifiant client attribué par Stripe, les dates de début et de fin et, si tu achètes pour une structure, sa raison sociale et son SIREN. Les données de carte ne nous parviennent jamais (voir § 5).

2.7 Données techniques

• Jeton de notification de ton appareil, nécessaire à l'envoi des notifications push.
• Adresse IP, traitée dans les journaux du serveur et par la limitation de débit qui protège l'API des abus. Elle n'est pas conservée à des fins d'analyse.
• Événements d'usage et rapports d'erreur : quel écran a été ouvert, quelle action a échoué, quelle exception a été levée. Dans l'application, ils ne sont envoyés qu'avec ton accord (§ 10). Ils servent à corriger les pannes et à comprendre ce qui est utilisé. Aucun contenu de séance ni de message n'y figure.

2.8 Activités mesurées par une montre (Strava)

Seulement si tu connectes ton compte Strava, depuis les réglages de l'application. Kova lit alors, pour chaque activité que tu as rendue visible au-delà de toi-même sur Strava : son nom, le sport, la date et l'heure de départ, la distance, le temps en mouvement, le dénivelé positif, le drapeau « trajet » et le découpage en tours. Ces mesures servent à afficher le volume réellement couru et l'allure de tes séances, et à préremplir ta déclaration.

Kova ne lit ni ne conserve ta fréquence cardiaque, ta trace GPS, tes points de départ et d'arrivée, tes photos ni tes segments : ces champs sont écartés à la réception, avant tout enregistrement. Les activités que tu as réservées à toi uniquement sur Strava ne remontent pas. Aucune donnée Strava n'est transmise au fournisseur d'intelligence artificielle (voir § 2.4).

Tes coachs ne voient ces mesures que si tu l'acceptes, groupe par groupe : un interrupteur par groupe, distinct de la connexion, éteint par défaut, que tu peux couper à tout moment. Chaque accord est daté et conservé avec la version du texte que tu as lu. Tu peux aussi exclure une activité du décompte, en corriger le sport, ou l'ajouter à ton calendrier. Une sortie n'y entre jamais sans ton geste. Déconnecter Strava, dans Kova ou dans les réglages de Strava, efface immédiatement tout ce qu'il avait apporté.

2.9 Activités lues dans Health Connect

Seulement si tu connectes Health Connect, depuis les paramètres de l'application Kova sur Android. Health Connect est le service d'Android où ta montre ou ton application de course (Samsung Health, Garmin, Fitbit ou Strava, par exemple) range tes activités. Kova y lit, pour chaque activité : le sport, la date et l'heure de départ, la durée, la distance, les tours (ceux de la montre, ou un découpage au kilomètre calculé à partir de la distance), le titre de l'activité s'il en a un, et l'application qui l'a écrite. Cette application est rangée dans une liste fermée (Samsung Health, Garmin, Fitbit, Google Fit, Strava, Polar, Coros, Suunto ou « autre ») : son identifiant exact n'est pas conservé. Ces mesures servent à afficher le volume réellement couru et l'allure de tes séances, et à les rattacher aux séances prévues.

Kova ne lit jamais ta fréquence cardiaque, ton trajet, ta position, tes pas ni tes calories : l'application ne demande à Health Connect que deux types de données, les séances d'exercice et la distance, en lecture seule. Elle n'écrit rien dans Health Connect.

Quand la lecture a lieu. À la connexion, Kova lit tes activités des 28 derniers jours. Ensuite, à chaque ouverture de l'application et, si ton téléphone le permet et que tu l'as autorisé, en arrière-plan, application fermée. Ce site et l'application web ne lisent jamais Health Connect : ils affichent les activités que ton téléphone a déjà envoyées. Elles voyagent chiffrées jusqu'à nos serveurs, hébergés dans l'Union européenne (§ 5).

Qui les reçoit. Tes coachs ne voient ces activités que si tu l'acceptes, groupe par groupe, avec le même interrupteur que pour Strava (§ 2.8), éteint par défaut et retirable à tout moment. Kai ne les lit que sur un accord distinct de la connexion : la case « Kai peut lire mes séances Health Connect pour écrire mon plan », facultative, datée et liée à la version du texte que tu as lu. Tu peux la retirer à tout moment dans les paramètres, dans l'application ou sur ce site, sans te déconnecter. Avec cet accord, la distance, la durée, l'allure et les tours de tes activités des quatre dernières semaines sont transmis à Google, le fournisseur du modèle (§ 2.4 et § 5), sans le titre de l'activité et sans rien qui te désigne. Le même accord laisse Kai lire la distance et le temps que tu as déclarés tels que Health Connect les avait mesurés, y compris quand ton coach lui demande d'analyser la semaine de son groupe (§ 2.4). Sans cet accord, aucun chiffre venu de Health Connect n'est transmis à l'assistant.

Kova n'utilise jamais ces données pour de la publicité, ne les vend pas et ne les transmet à aucun courtier ni revendeur de données. Si tu as accepté la mesure d'usage (§ 10), l'application compte le nombre d'activités reçues par application d'origine, sans aucune donnée d'activité.

Déconnecter Health Connect, dans l'application ou sur ce site, efface immédiatement de nos serveurs tout ce qu'il avait apporté. Tes activités restent dans Health Connect, sur ton téléphone. Une activité que tu supprimes dans Health Connect est effacée chez nous à la lecture suivante, si l'application a lu Health Connect au moins une fois au cours des trente jours précédents. Au-delà, la suppression ne nous parvient pas : déconnecter Health Connect efface alors tout ce qu'il avait apporté.

2.10 Activités lues dans Apple Santé

Seulement si tu connectes Apple Santé, depuis les paramètres de l'application Kova sur iPhone. Kova y lit, en lecture seule, tes entraînements écrits dans Santé par ton Apple Watch ou par tes applications de sport : le type, la date et l'heure, la durée, les tours, la distance, et l'application qui les a écrits, rangée dans la même liste fermée qu'au § 2.9 (Apple pour Exercice et Forme). Ces mesures servent à afficher le volume réellement couru et l'allure de tes séances, et à les rattacher aux séances prévues.

Kova ne lit jamais ta fréquence cardiaque, ton trajet ni ta position, et n'écrit rien dans Santé. Ces données ne sont pas stockées dans iCloud. La lecture a lieu comme pour Health Connect : les 28 derniers jours à la connexion, puis à l'ouverture de l'application et, si tu l'as autorisé, en arrière-plan. Ce site et l'application web ne lisent jamais Apple Santé.

Qui les reçoit. Tes coachs ne les voient que si tu l'acceptes, groupe par groupe, avec le même interrupteur que pour Strava et Health Connect. Kai ne les lit que sur un accord distinct de la connexion : la case « Kai peut lire mes séances Apple Santé pour écrire mon plan », facultative, datée et liée à la version du texte que tu as lu, aux mêmes conditions qu'au § 2.9. Sans cet accord, aucun chiffre venu d'Apple Santé n'est transmis à l'assistant.

Kova n'utilise jamais ces données pour de la publicité ou du marketing, ne les vend pas et ne les cède à personne. Déconnecter Apple Santé efface immédiatement de nos serveurs tout ce qu'il avait apporté. Pour retirer aussi l'accès de Kova à tes données, passe par l'app Santé de ton iPhone.

3. Finalités et bases légales

Les traitements listés ci-dessus qui reposent sur ton consentement sont : les statistiques globales, si tu renseignes ton année de naissance ou ton sexe ; la connexion à Strava ou à Health Connect, avec un second consentement, groupe par groupe, pour le partage à tes coachs ; l'accord qui laisse Kai lire tes activités Health Connect ; les deux accords qui laissent Kai lire tes textes libres de séance, pour ton plan ou pour ton coach ; et la mesure d'usage dans l'application. Tous les autres sont soit nécessaires au service que tu as demandé, soit fondés sur notre intérêt légitime à faire fonctionner et à protéger l'application.

4. Qui voit tes données

À l'intérieur du service, la visibilité est déterminée par ce que tu fais :

• Tes coachs voient les séances qu'ils t'ont assignées, ce que tu déclares après chacune (distance, effort, mot libre, motif d'une séance manquée), et les séances que tu ajoutes toi-même si tu choisis de les partager. Si tu as connecté Strava ou Health Connect et accepté de partager tes mesures avec leur groupe, ils voient aussi la distance, l'allure et les tours mesurés par ta montre.
• Les membres de tes groupes voient le planning d'équipe et les discussions de groupe. Une consigne écrite personnellement pour toi n'est visible que par toi et son auteur.
• Le public, c'est-à-dire tout utilisateur connecté, voit ton profil : prénom, nom, photo, sport, description, objectif de saison, records, et le nombre de tes abonnés et abonnements. Ton adresse e-mail n'y figure jamais.

5. Sous-traitants et hébergement

Aucune donnée n'est vendue, louée ni transmise à un annonceur. Aucun courtier en données n'intervient.

6. Durées de conservation

• Compte et contenus : conservés tant que le compte existe. Kova est un carnet d'entraînement : son intérêt tient justement à l'historique, qui n'est donc pas purgé automatiquement.
• Après suppression du compte : les données du compte et du profil sont effacées immédiatement. Les séances que tu avais créées pour d'autres et les messages que tu avais envoyés dans une discussion de groupe restent visibles par leurs destinataires, détachés de ton identité : un plan d'entraînement ne disparaît pas du calendrier des athlètes parce que leur coach a fermé son compte.
• Sauvegardes : aucune copie de sécurité de la base n'est conservée à ce jour. Une donnée supprimée n'existe donc plus nulle part dans nos systèmes une fois l'effacement effectué.
• Factures et pièces comptables : dix ans, comme l'exige le Code de commerce (article L123-22), y compris après la suppression du compte. Elles ne contiennent que ce qui figure sur une facture.
• Signalements : conservés avec la décision prise tant que le compte concerné existe, pour pouvoir répondre à une contestation ou à une réquisition judiciaire.
• Activités mesurées (Strava) : tant que Strava reste connecté. Effacées immédiatement à la déconnexion, et quand tu supprimes une activité sur Strava.
• Activités lues dans Health Connect : tant que Health Connect reste connecté. Effacées immédiatement à la déconnexion, dans l'application ou sur ce site, et, quand tu supprimes une activité dans Health Connect, à la lecture suivante (dans les limites décrites au § 2.9). L'accord donné à Kai disparaît avec la connexion.
• Activités lues dans Apple Santé : tant qu'Apple Santé reste connecté. Effacées immédiatement à la déconnexion, et, quand tu supprimes un entraînement dans Santé, à la lecture suivante. L'accord donné à Kai disparaît avec la connexion.
• Journaux techniques : 30 jours au plus.

7. Tes droits

Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par les articles 15 à 22 du RGPD.

• Rectification : la plupart des données se corrigent directement dans l'application (profil, séances, retours).
• Effacement : la suppression du compte est disponible dans l'application, depuis les réglages. La procédure complète, et le moyen de la demander sans passer par l'app, sont décrits sur la page Supprimer mon compte.
• Accès et portabilité : écris à contact@kovasport.fr ; une copie de tes données t'est transmise dans un format lisible par machine sous un mois.

Toute demande reçoit une réponse dans un délai d'un mois. Si cette réponse ne te satisfait pas, tu peux introduire une réclamation auprès de la CNIL.

8. Sécurité

• Tous les échanges entre l'application, le site et l'API sont chiffrés en HTTPS.
• Les jetons d'authentification sont conservés sur l'appareil dans le coffre sécurisé du système (Keystore Android, Trousseau iOS), jamais en clair.
• Chaque appel à l'API est authentifié et vérifié côté serveur : l'appartenance à un groupe et le rôle de coach sont contrôlés à chaque requête, pas seulement masqués dans l'interface.
• Les endpoints sensibles sont limités en débit pour freiner les abus automatisés.

9. Mineurs

Le service n'est pas destiné aux personnes de moins de 13 ans. Entre 13 et 15 ans, l'inscription relève de l'autorisation du titulaire de l'autorité parentale. Ton âge est attesté par une case à cocher : Kova ne collecte pas de date de naissance. L'année de naissance, facultative (§ 2.2), ne sert qu'aux statistiques globales. Si tu constates qu'un compte a été créé en dehors de ces conditions, écris-nous : il sera supprimé.

10. Cookies

Ce site ne dépose aucun cookie de mesure d'audience ni de publicité, et aucun traceur tiers. Il n'y a donc pas de bandeau de consentement à cliquer.

Les seuls cookies déposés sont strictement nécessaires au service que tu demandes. Ils sont exemptés de consentement préalable (article 82 de la loi Informatique et Libertés, lignes directrices de la CNIL). Il y en a de deux sortes :

• Les cookies de session, qui portent ta connexion à ton espace et rien d'autre. Ils sont posés en httpOnly, donc illisibles par le JavaScript de la page, et sont effacés à la déconnexion. Le temps d'une connexion (avec Google ou par un lien de confirmation), un cookie temporaire sécurise le retour vers le site ; il est effacé dès que la connexion est terminée.
• Le cookie kova-session, qui vaut simplement « 1 » et dure 30 jours au plus. Il n'est pas httpOnly, volontairement : la page le lit pour afficher ton avatar plutôt que les boutons de connexion, sans clignotement. Il ne contient aucune donnée personnelle et ne donne aucun droit d'accès.

Stockage sur ton appareil. Pour tes réglages d'affichage, le site et l'application web écrivent quelques valeurs dans le stockage de ton navigateur. Elles ne quittent jamais ton appareil, ne servent à aucune mesure et se suppriment depuis les réglages de ton navigateur :

• kova-theme : ton choix de thème clair ou sombre, enregistré seulement si tu le changes toi-même.
• L'état de l'interface de l'application web (menu replié, fenêtre de séance ancrée) et tes dernières recherches de profils.
• kova-session-user : ton prénom, ton adresse e-mail et l'adresse de ta photo, gardés le temps de l'onglet pour afficher ton nom dans l'en-tête sans interroger le serveur à chaque page. Cette valeur disparaît à la fermeture de l'onglet.

Si tu ne crées pas de compte et te contentes de lire ce site, aucun cookie n'est déposé.

Mesure des pages du site. Le site compte les pages consultées et les clics sur quelques boutons (télécharger l'application, créer un compte, choisir une offre). Cette mesure se fait sans cookie ni aucun stockage sur ton appareil : PostHog (hébergé dans l'Union européenne) ne reconnaît pas un visiteur d'un jour à l'autre, et aucun texte saisi, aucun enregistrement de session ni carte de chaleur n'est collecté.

Mesure d'usage dans l'application. Elle n'est activée qu'avec ton accord, demandé au premier lancement. Si tu acceptes, Kova enregistre les écrans que tu ouvres et reçoit les rapports d'erreur, rattachés à ton compte. Si tu refuses, ou tant que tu n'as pas répondu, rien n'est envoyé. Tu peux changer d'avis à tout moment dans Réglages → Confidentialité.

L'application mobile utilise par ailleurs le stockage sécurisé de l'appareil pour ta session et ton cache hors ligne. Ce n'est pas un traceur et cela ne quitte pas le téléphone.

11. Modifications

Toute modification substantielle de ce document est signalée dans l'application avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.

Modification du 8 novembre 2026 : Kai ne reçoit plus aucune donnée venue de Strava (§ 2.4, § 2.8 et § 3), la mesure d'usage dans l'application figure parmi les traitements fondés sur ton consentement (§ 3), et le texte passe au tutoiement.