Politique de confidentialité

Version 1.0En vigueur depuis le 21 septembre 2026S’applique à l’application Gym+ et à ce site

Gym+ est un journal d’entraînement. L’essentiel de ce que vous enregistrez ne quitte jamais votre appareil, et les données de santé que l’application lit — fréquence cardiaque, calories et pas — ne le quittent jamais. Ce document explique précisément ce qui est lu, dans quel but, ce qui sort de l’appareil et ce que vous pouvez exiger de nous.

1. Qui est responsable

L’application Gym+ est publiée et exploitée par ALAS TECHNOLOGY LLC, société enregistrée aux États-Unis sous l’EIN (numéro d’identification d’employeur de l’IRS) 93-3927200.

Au sens de la LGPD, nous sommes le controlador (responsable du traitement) des données décrites ici. Au sens du RGPD, nous sommes le responsable du traitement.

Délégué au traitement des données personnelles (LGPD, art. 41) : le canal officiel du délégué est privacy@gymplus.life. Cette adresse reçoit toute demande, question ou réclamation concernant les données personnelles, et c’est par elle que nous échangeons avec l’Autorité nationale de protection des données brésilienne (ANPD) lorsque c’est nécessaire.

2. Données de santé

C’est la partie la plus importante, alors elle vient en premier.

Ce que l’application lit

Si — et seulement si — vous l’autorisez, Gym+ lit dans Apple Santé (HealthKit) sur iPhone et dans Health Connect sur Android :

• Fréquence cardiaque
• Calories actives brûlées
• Calories totales brûlées
• Pas

Et elle y enregistre une seule chose : la séance d’exercice que vous venez de terminer, pour que l’entraînement compte dans votre activité du jour et apparaisse dans l’historique de l’app santé du système.

Dans quel but

Pour montrer, dans la séance que vous avez enregistrée, ce que votre corps a fait pendant qu’elle se déroulait, et pour afficher des graphiques et des tendances à partir de ces mêmes données. Ces graphiques et tendances sont calculés sur l’appareil lui-même. Il n’y a aucune autre finalité — ni statistique, ni commerciale, ni de recommandation.

Ce qui ne leur arrive jamais

• Les données de santé ne sont envoyées ni à nos serveurs ni à ceux d’un tiers. Elles sont lues, affichées et restent là où elles étaient : sur l’appareil.
• Les données de santé ne sont pas vendues, louées, cédées ni échangées.
• Les données de santé ne sont pas utilisées à des fins publicitaires, de marketing, de ciblage ou de profilage — ni par nous, ni par qui que ce soit. L’application n’intègre aucun SDK publicitaire ni d’analyse d’audience.
• Les données de santé n’alimentent aucun système externe de recommandation automatisée et ne sont envoyées à aucun service tiers pour traitement.

Comment retirer l’autorisation

• iPhone : Réglages → Confidentialité et sécurité → Santé → Gym+, puis désactivez ce que vous voulez.
• Android : ouvrez Health Connect → Autorisations des applis → Gym+.

Retirer l’autorisation n’efface pas ce qui se trouve déjà dans votre app santé — cet historique est géré par le système lui-même, et c’est là qu’il s’efface. Gym+ cesse simplement de lire.

3. Ce qui reste sur l’appareil

Reste sur votre appareil, dans le stockage privé de l’application, et ne nous est pas envoyé :

• Votre journal d’entraînement : exercices, séries, charges, répétitions, repos, dates.
• Vos programmes et séances composés.
• Votre profil, si vous le remplissez : nom affiché, photo, sexe, âge, taille, poids et niveau d’activité.
• Vos mensurations, si vous les enregistrez.
• Vos photos de progression, si vous en prenez ou en choisissez dans la galerie.
• Les notes que vous écrivez.
• Vos préférences : langue, thème, unités, objectif hebdomadaire.
• Les données de santé décrites au point 2.

Si vous désinstallez l’application, ces données sont supprimées de l’appareil avec elle. Nous n’en avons aucune copie à vous rendre. Lorsque vous exportez une sauvegarde ou partagez une séance, le fichier va là où vous le choisissez, à votre initiative.

4. Ce qui sort de l’appareil

Uniquement ce qui est décrit ci-dessous, et chaque élément seulement lorsque vous utilisez la fonctionnalité correspondante.

4.1 Votre compte

Le compte est créé avec Se connecter avec Apple ou Se connecter avec Google. Il n’existe pas de mot de passe Gym+. Lorsque vous vous connectez, Apple ou Google remet à l’application une preuve d’identité signée, que l’application transmet à notre serveur, lequel vérifie la signature avec les clés publiées par le fournisseur. Nous recevons ainsi :

• l’identifiant de votre compte chez le fournisseur (un code stable, pas votre nom) ;
• l’adresse e-mail communiquée par le fournisseur. Si vous avez choisi de masquer votre adresse chez Apple, nous ne recevons que l’adresse de relais d’Apple — et nous ne demandons jamais la vraie.

Le nom qu’Apple peut afficher lors de la première connexion reste uniquement dans la mémoire de l’application et ne nous est pas envoyé. Les identifiants de session que notre serveur renvoie restent uniquement en mémoire et sont supprimés lorsque vous vous déconnectez ou fermez l’application.

4.2 La vérification de l’abonnement

Pour savoir si votre abonnement est valide, l’application envoie à notre serveur l’identifiant d’achat émis par la boutique (Apple ou Google) et l’identifiant du produit. Le serveur interroge la boutique elle-même et conserve le résultat : la formule (Aluno ou Coach), l’état de l’abonnement (période gratuite, actif, en période de grâce, expiré, révoqué), la date d’expiration et la date de la dernière vérification, rattachés à votre compte. La boutique informe aussi notre serveur lorsque l’abonnement change d’état — renouvellement, résiliation, remboursement.

Nous ne recevons ni ne conservons aucun numéro de carte, coordonnées bancaires, adresse de facturation ni moyen de paiement quel qu’il soit. C’est la boutique qui encaisse, et c’est elle qui conserve ces informations.

4.3 Le bilan hebdomadaire

Lorsque vous demandez le bilan hebdomadaire, et uniquement à ce moment-là, l’application envoie à notre serveur :

• la langue dans laquelle vous voulez le texte ;
• l’objectif hebdomadaire que vous avez choisi ;
• pour chacune des 4 dernières semaines complètes, trois nombres : combien de séances, sur combien de jours distincts et combien de séries.

Douze nombres, une langue et un objectif. Aucun nom d’exercice, charge, répétition, photo, mensuration, note, historique brut ni donnée de santé n’est envoyé. La semaine en cours est délibérément exclue, car elle n’est pas encore terminée. Le serveur calcule le texte du bilan, le renvoie à l’application et ne conserve pas ces nombres.

4.4 Le programme de parrainage

Si vous utilisez l’invitation pour vos amis, le serveur conserve votre code d’invitation, qui a invité qui et à quelle étape se trouve chaque invitation. Pour empêcher qu’un même appareil crée plusieurs comptes uniquement pour gagner des récompenses, l’application envoie un identifiant d’installation qu’elle génère elle-même au hasard. Ce n’est ni un identifiant matériel ni un identifiant publicitaire, il change si vous réinstallez l’application, et le serveur ne le conserve que sous forme d’empreinte cryptographique à clé secrète. Lorsque vous récupérez un mois gagné, nous utilisons l’adresse e-mail du compte pour organiser sa remise.

4.5 Les messages que vous nous envoyez

Si vous écrivez à l’une de nos adresses e-mail, nous recevons le message, votre adresse et ce que vous décidez d’y joindre, comme des captures d’écran. Nous ne l’utilisons que pour répondre et traiter votre demande.

5. Avec qui nous partageons

Nous ne vendons pas de données personnelles. Nous n’échangeons pas de données personnelles contre un service, une remise ou toute autre contrepartie. Les seuls tiers impliqués sont ceux qui rendent l’application possible :

Nous pouvons aussi partager des données en cas de décision de justice, de réquisition d’une autorité compétente ou d’obligation légale — et, lorsque la loi permet de vous prévenir, nous vous prévenons.

6. Combien de temps nous conservons

La marque d’achat existe pour une raison précise : empêcher qu’un même abonnement déjà utilisé soit transféré ou réutilisé sur un autre compte après la suppression du premier. Elle ne permet ni de vous réidentifier, ni de récupérer quoi que ce soit qui vous appartenait.

7. LGPD — vos droits au Brésil

Bases légales

Ce que vous pouvez exiger

À tout moment, gratuitement, vous pouvez demander (art. 18 de la LGPD) :

• la confirmation que nous traitons des données vous concernant, et l’accès à celles-ci ;
• la correction de données incomplètes, inexactes ou obsolètes ;
• l’anonymisation, le blocage ou l’effacement de données inutiles, excessives ou traitées en violation de la loi ;
• la portabilité vers un autre fournisseur ;
• l’effacement des données traitées sur la base de votre consentement ;
• l’information sur les personnes avec qui nous partageons vos données ;
• l’information sur ce qui se passe si vous ne consentez pas ;
• la révocation du consentement.

Pour exercer l’un de ces droits, écrivez à privacy@gymplus.life. Nous répondons sous 15 jours calendaires au plus. Pour supprimer le compte, il existe un chemin direct dans l’application, décrit dans Supprimer le compte.

Si vous estimez que nous avons traité vos données de manière abusive, vous pouvez déposer une réclamation auprès de l’Autorité nationale de protection des données (ANPD).

8. GDPR (RGPD) — vos droits en Europe

Gym+ a une interface en 16 langues et est vendu dans les boutiques d’Apple et de Google dans des pays de l’Espace économique européen. Si vous vous trouvez dans l’EEE, au Royaume-Uni ou en Suisse, les règles ci-dessous s’appliquent également.

Bases légales (art. 6 et art. 9)

• Art. 6(1)(b) — exécution du contrat : compte, abonnement, bilan hebdomadaire, programme de parrainage et fonctionnement de l’application.
• Art. 9(2)(a), en combinaison avec l’art. 6(1)(a) — consentement explicite pour la lecture de la fréquence cardiaque, des calories et des pas, qui sont des données de catégorie particulière. C’est pourquoi cette lecture n’a lieu qu’après votre autorisation dans le système, et c’est pourquoi elle peut être révoquée sans affecter le reste de l’application.
• Art. 6(1)(c) — obligation légale : conservation de l’enregistrement fiscal du paiement.
• Art. 6(1)(f) — intérêt légitime : la marque d’achat déjà utilisé et la marque d’installation du programme de parrainage, pour empêcher la fraude. L’intérêt est d’éviter un préjudice direct ; l’impact sur vous est minimal, car les données conservées sont des empreintes cryptographiques sans adresse e-mail ni nom.

Transfert international

Le responsable du traitement est une société enregistrée aux États-Unis, et notre serveur, la base de données, ce site et l’acheminement des e-mails fonctionnent sur l’infrastructure de Cloudflare, qui peut traiter des données dans des centres de données situés hors de votre pays, y compris aux États-Unis. Par conséquent, les données de compte, d’abonnement et du programme de parrainage peuvent être transférées hors de l’EEE.

Cloudflare est certifiée au titre du EU-U.S. Data Privacy Framework (et de ses extensions au Royaume-Uni et à la Suisse) et intègre les clauses contractuelles types approuvées par la Commission européenne (art. 46(2)(c)) à son accord de traitement des données. Google, qui héberge notre messagerie, offre les mêmes garanties. Vous pouvez nous demander une copie des garanties applicables.

Il convient de préciser ce qui n’est pas transféré : aucune donnée de santé. Elles ne quittent pas l’appareil ; il n’y a donc aucun transfert international de données de catégorie particulière.

Vos droits

• Accès (art. 15), rectification (art. 16) et effacement (art. 17).
• Limitation du traitement (art. 18) et opposition (art. 21).
• Portabilité (art. 20). En pratique : ce qui vous appartient vraiment — le journal d’entraînement — se trouve sur l’appareil, et l’application elle-même exporte cet historique dans un fichier, sans dépendre de nous. Les données de compte et d’abonnement que nous détenons peuvent vous être envoyées dans un format lisible par machine, sur demande.
• Retirer votre consentement à tout moment (art. 7(3)), sans effet sur ce qui a déjà été traité auparavant.
• Introduire une réclamation auprès de l’autorité de protection des données de votre pays (art. 77).

Demandes : privacy@gymplus.life. Nous répondons dans un délai d’un mois au plus, comme l’exige le RGPD, et en règle générale bien avant.

Décision automatisée

Le bilan hebdomadaire est une comparaison arithmétique entre quatre semaines, pas un profil vous concernant. Nous ne prenons aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative, au sens de l’art. 22.

9. Enfants et adolescents

Gym+ ne s’adresse pas aux moins de 13 ans et nous ne collectons pas sciemment de données concernant des personnes de moins de cet âge. Dans les pays où l’âge minimum pour consentir est plus élevé — dans l’EEE, il peut atteindre 16 ans —, c’est l’âge local qui s’applique, et l’utilisation dépend de l’autorisation du titulaire de la responsabilité parentale. Si vous apprenez qu’un enfant a créé un compte sans cette autorisation, écrivez à privacy@gymplus.life et nous le supprimons.

10. Sécurité

• Toute communication entre l’application et notre serveur passe obligatoirement par HTTPS. L’application refuse toute redirection qui transporterait des identifiants.
• Les identifiants de session restent uniquement en mémoire et sont supprimés à la déconnexion.
• Ce que le serveur enregistre sur les abonnements est chiffré au repos avec AES-256-GCM, et les identifiants de compte et d’installation sont conservés sous forme d’empreintes cryptographiques.
• Aucune marque enregistrée sur l’appareil ne donne accès aux fonctions payantes : le droit d’accès provient toujours d’une nouvelle vérification auprès de la boutique.
• L’application n’embarque aucun SDK publicitaire ni d’analyse d’audience.

Aucun système n’est inviolable. En cas d’incident de sécurité présentant un risque important, nous vous en informons, ainsi que les autorités compétentes, dans les délais exigés par la LGPD et le RGPD.

11. Ce site

Ce site n’utilise aucun cookie publicitaire ni de mesure d’audience, ne charge aucune police, aucun script ni aucune image d’un autre domaine et ne crée aucun profil de ses visiteurs. Son seul cookie est gp_lang, déposé par le site lui-même : il n’est créé que lorsque vous choisissez une langue dans le sélecteur et conserve ce choix jusqu’à un an, pour que le site s’ouvre dans la même langue la fois suivante. Cloudflare, qui l’héberge, enregistre l’adresse IP et les données techniques de la requête pendant le temps nécessaire pour délivrer la page et protéger l’infrastructure.

12. Modifications de cette politique

Lorsque cette politique change, la date d’entrée en vigueur en haut de page change aussi et la version précédente cesse de s’appliquer à partir de ce moment. Si la modification affecte de manière importante ce que nous faisons de vos données, nous vous prévenons dans l’application avant son entrée en vigueur.

13. Comment nous joindre

• Confidentialité, droits des personnes concernées et délégué à la protection des données : privacy@gymplus.life
• Assistance : support@gymplus.life ou la page d’assistance
• Autres sujets : contact@gymplus.life

ALAS TECHNOLOGY LLC · EIN 93-3927200