Politique de confidentialité — EXE

1 — Introduction

La présente Politique de confidentialité (la « Politique ») décrit la manière dont EXE collecte, utilise, partage et protège vos données personnelles dans le cadre de l'utilisation de la Plateforme (www.exefit.app et applications mobiles iOS/Android).

Elle s'applique aux deux volets distincts du service :

• Volet 2 — Marketplace coach : EXE intervient en qualité d'intermédiaire technique entre Coachs et Athlètes. EXE est responsable de traitement pour les données plateforme et co-responsable (RGPD art. 26) avec les Coachs pour les données partagées dans la relation coach-athlète.
• Volet 1 — EXE Premium (B2C avec agent IA) : EXE est responsable de traitement unique. L'agent IA traite des données concernant la santé (RGPD art. 9) et produit des recommandations automatisées (art. 22). Section dédiée 5 ci-dessous.

Toute mention « vous » désigne l'utilisateur de la Plateforme (Athlète ou Coach selon contexte).

Version : v1.1 — 6 septembre 2026.

2 — Responsable de traitement et coordonnées

• Raison sociale : Younes Beaila, Entrepreneur individuel
• Nom commercial : EXE
• SIRET : 951 233 576 00010
• Adresse : 50 boulevard Charles Stoessel, 68200 Mulhouse, France
• Contact général : support@exefit.app
• Point de contact protection des données : dpo@exefit.app
• Autorité de contrôle : Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr

EXE n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas requise à ce stade (article 37 RGPD) ; le point de contact ci-dessus en tient lieu.

3 — Tableau de synthèse des traitements

4 — Données concernant la santé (RGPD art. 9)

EXE collecte et traite des données concernant la santé au sens de l'article 4 §15 et du considérant 35 du RGPD, principalement dans le cadre du volet 1 (EXE Premium / agent IA) mais également ponctuellement dans le volet 2 (mensurations partagées avec un Coach, contraintes alimentaires, antécédents) :

• sommeil (durée, qualité subjective) ;
• fatigue subjective, niveau de stress et niveau de RPE ;
• courbatures (DOMS), zones de douleur, localisation et intensité ;
• mensurations corporelles (poids, tour de taille, composition corporelle) et photos de progression ;
• métriques issues d'Apple Health ou de Google Fit lorsque vous choisissez de les connecter (sommeil, variabilité de la fréquence cardiaque, fréquence cardiaque au repos, pas, calories) ;
• photos d'exercice transmises volontairement dans le chat de l'Agent IA ;
• contraintes alimentaires, allergies, intolérances ;
• médicaments, notes médicales et antécédents saisis volontairement (ex. « j'ai mal au genou depuis 2 ans »).

4.1 — Base légale

Le traitement de ces données repose sur le consentement explicite, libre, spécifique, éclairé et univoque au sens de l'article 9 §2 a) du RGPD, recueilli par une case à cocher dédiée, distincte de l'acceptation des CGU, lors de la première saisie de données de santé (étape « mesures et blessures » de l'onboarding, fiche santé de votre espace personnel).

L'activation de l'Agent IA (volet 1) fait en outre l'objet d'un écran de consentement dédié avant la première utilisation, couvrant le traitement de vos données par Anthropic et les recommandations automatisées décrites en §5.4.

4.2 — Retrait du consentement

Vous pouvez retirer votre consentement à tout moment :

• depuis l'application mobile (Profil › Préférences › Assistant IA) pour l'Agent IA ;
• par email à dpo@exefit.app pour tout retrait.

Le retrait :

• n'affecte pas la licéité du traitement effectué avant retrait ;
• entraîne la désactivation immédiate des fonctionnalités IA dépendantes (volet 1) ;
• entraîne la suppression des données de santé concernées, sauf obligation légale de conservation.

4.3 — Mineurs

Les données de santé des mineurs ne sont pas collectées : le service est réservé aux personnes majeures. Aucun consentement parental ne pallie cette limite contractuelle.

4.4 — Registre et évaluation des risques

EXE tient un registre de ses traitements et évalue les risques liés aux données de santé ; une analyse d'impact formalisée (art. 35 RGPD) sera réalisée avant tout traitement à grande échelle.

5 — Traitement spécifique : Assistant IA EXE (volet 1)

5.1 — Finalités

• Génération de séances, programmes, plans nutritionnels personnalisés
• Analyse de la fatigue et de la récupération
• Retours techniques sur des photos d'exercice transmises volontairement dans le chat
• Suggestion d'ajustements (deload, volume, RPE, plan repas)
• Communication conversationnelle (chat agent)

5.2 — Données traitées

• Données d'identification (nom, email)
• Données de santé (cf. §4)
• Photos d'exercice transmises volontairement dans le chat
• Données d'utilisation (séances réalisées, charges, RPE, performances)
• Préférences alimentaires, allergies
• Historique des conversations chat

5.3 — Base légale

Refuser les recommandations automatisées revient à ne pas activer l'Agent IA ; vous pouvez à tout moment demander une intervention humaine à support@exefit.app.

5.4 — Décisions automatisées (art. 22 RGPD)

L'agent IA prend certaines décisions de manière entièrement automatisée :

• recommandation d'une période de récupération active (« deload ») ;
• ajustement automatique du volume d'entraînement d'une séance ou d'une semaine ;
• suggestion d'un objectif de RPE ou d'une intensité cible ;
• proposition d'un plan repas ou d'une catégorie d'aliments à privilégier.

Logique sous-jacente : ces décisions sont produites à partir de :

• vos données déclarées (sommeil, fatigue, courbatures) ;
• l'historique de vos séances (charges, volume, RPE) ;
• vos objectifs et contraintes ;
• les standards d'entraînement de la littérature scientifique appliqués via les modèles d'IA d'Anthropic.

Aucun profilage à des fins publicitaires ou de différenciation tarifaire n'est réalisé.

Vos droits (art. 22 §3 RGPD) :

• droit d'obtenir une intervention humaine d'un membre de l'équipe EXE sur toute décision automatisée ;
• droit d'exprimer votre point de vue ;
• droit de contester la décision.

Pour exercer ces droits, écrivez à support@exefit.app. La décision est réexaminée sous 30 jours (article 12 §3 RGPD).

5.5 — Sous-traitant : Anthropic PBC

Pour fournir le service, EXE recourt aux modèles d'intelligence artificielle de Anthropic PBC, établie aux États-Unis (548 Market Street, San Francisco, CA 94104), agissant en qualité de sous-traitant au sens de l'article 28 RGPD. Modèles utilisés à la date des présentes : Claude Sonnet 4.6 et Claude Haiku 4.5.

Anthropic agit en qualité de sous-traitant dans le cadre de ses conditions commerciales et de son Data Processing Addendum, qui excluent l'utilisation des données des clients pour l'entraînement de ses modèles ; le transfert vers les États-Unis est encadré par les clauses contractuelles types (décision 2021/914) intégrées à ce DPA.

5.6 — Transferts hors Union européenne

Les données traitées par les modèles IA sont transférées aux États-Unis (Anthropic). Le transfert est encadré par les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution UE 2021/914, modules contrôleur–sous-traitant), intégrées au Data Processing Addendum d'Anthropic.

5.7 — Photos transmises à l'Agent IA

Les photos que vous joignez volontairement à un message du chat sont :

• traitées exclusivement aux fins de vous fournir un retour technique sur l'exercice ;
• conservées avec la conversation à laquelle elles appartiennent, et supprimées avec votre Compte ou sur simple demande à dpo@exefit.app ;
• accessibles uniquement à vous-même et au moteur IA.

Vous garantissez disposer des droits sur les images transmises et qu'aucun tiers n'y figure sans son consentement.

5.8 — Information AI Act

L'agent IA EXE est classifié, à la date des présentes, comme un système d'IA à risque limité au sens de l'article 50 du Règlement (UE) 2024/1689. Une mention claire et persistante dans l'interface de chat vous informe que vous interagissez avec un système d'intelligence artificielle. EXE agit en qualité de déployeur au sens de l'art. 3 §4 de ce Règlement.

6 — Sous-traitants et partenaires

EXE recourt aux sous-traitants suivants au sens de l'article 28 RGPD pour fournir le service. Cette liste constitue la liste de référence des sous-traitants d'EXE et est tenue à jour dans la présente section.

Aucun de ces hébergeurs ne publie de numéro de téléphone destiné au public ; leurs coordonnées de contact figurent sur leurs sites respectifs (vercel.com/contact, railway.com/contact, supabase.com/support, aws.amazon.com/contact-us).

Services tiers connectés à votre demande. Si vous choisissez de connecter Apple Health ou Google Fit, les données circulent de ces services vers EXE uniquement après votre autorisation dans le service concerné ; EXE conserve les jetons d'accès nécessaires à la synchronisation et ne transmet aucune donnée à ces services en dehors de l'écriture de vos séances dans Apple Health / Google Fit lorsque vous l'activez. Vous pouvez révoquer l'accès à tout moment depuis les réglages du service concerné ou depuis votre profil EXE. D'autres services connectés pourront être proposés ; ils seront ajoutés à cette liste avant activation.

EXE notifie les utilisateurs préalablement à toute modification substantielle de cette liste.

7 — Durées de conservation

Les durées de conservation s'apprécient selon la nature de la donnée et la finalité. Votre Compte peut être supprimé à tout moment, en libre-service, depuis les paramètres du compte (web) ou le profil de l'application mobile : la suppression efface définitivement votre profil, vos données de santé et de bien-être, vos photos et vos conversations. Seules survivent les données listées ci-dessous comme soumises à une obligation légale.

• Identifiants et données du Compte : durée du Compte, suppression à la clôture ;
• Données de santé, mensurations et wellness : durée du Compte, suppression à la clôture ou sur demande ;
• Photos (progression, photos transmises à l'Agent IA) : durée du Compte, suppression à la clôture ou sur demande ;
• Conversations avec l'Agent IA : durée du Compte ; les messages les plus anciens d'une conversation sont progressivement résumés (compactés) pour la continuité du service ; l'ensemble est supprimé avec le Compte ;
• Données de paiement et factures : 10 ans (Code de commerce L123-22 + obligations fiscales), conservées par Stripe et EXE ;
• Journal des consentements : 5 ans (preuve du consentement, article 2224 du Code civil — prescription de droit commun de cinq ans) ;
• Sessions de connexion : 30 jours ;
• Logs techniques : durée limitée fixée par l'hébergeur ;
• Données de modération DSA : 5 ans ;
• Cookies et identifiants de mesure d'audience : 12 mois.

8 — Vos droits (RGPD art. 12 à 22)

Vous disposez des droits suivants à l'égard de vos données personnelles :

• Droit d'accès (art. 15) : obtenir confirmation et copie de vos données ;
• Droit de rectification (art. 16) : corriger une donnée inexacte ;
• Droit à l'effacement (« droit à l'oubli », art. 17) : sauf obligation légale de conservation ;
• Droit à la limitation (art. 18) ;
• Droit à la portabilité (art. 20) : récupérer vos données dans un format lisible ;
• Droit d'opposition (art. 21) : aux traitements basés sur l'intérêt légitime (dont la mesure d'audience, cf. §9) ou aux fins de prospection ;
• Droit de retrait du consentement (art. 7 §3) : à tout moment, sans effet rétroactif ;
• Droits relatifs aux décisions automatisées (art. 22 §3) : intervention humaine, point de vue, contestation ;
• Droit d'introduire une réclamation auprès de la CNIL (art. 77) ou de toute autorité de contrôle compétente.

La suppression de votre Compte est disponible en libre-service depuis les paramètres du compte (web) ou le profil de l'application mobile.

Pour exercer vos autres droits, écrivez à dpo@exefit.app. Le délai de réponse est d'un (1) mois à compter de la demande, prolongeable de deux (2) mois en cas de complexité (art. 12 §3). Une preuve d'identité peut vous être demandée en cas de doute raisonnable.

9 — Cookies, traceurs et mesure d'audience

Sur l'application web, EXE dépose les cookies suivants :

• Cookies strictement nécessaires : cookie de session (30 jours) et cache signé des données de session (5 minutes), émis par notre système d'authentification ; préférence d'affichage de la barre latérale (7 jours). Ils ne nécessitent pas de consentement (article 82 de la loi Informatique et Libertés).
• Mesure d'audience : EXE utilise PostHog (PostHog Inc., données hébergées dans l'Union européenne) pour mesurer l'usage de la Plateforme : pages vues et clics sur le web, écrans consultés et événements clés sur mobile, événements métier côté serveur. L'enregistrement de session (« session replay ») est désactivé. Aucune donnée n'est utilisée à des fins publicitaires, revendue ni croisée avec d'autres sites. Le cookie de mesure d'audience est conservé 12 mois.

La mesure d'audience repose sur l'intérêt légitime d'EXE (art. 6 §1 f RGPD). Vous pouvez vous y opposer à tout moment depuis la page Politique cookies, qui contient un bouton de désactivation ; votre choix est mémorisé sur votre navigateur.

10 — Sécurité

EXE met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité de vos données (article 32 RGPD) :

• chiffrement TLS en transit ; chiffrement au repos assuré par les hébergeurs ;
• contrôles d'accès applicatifs par utilisateur et par rôle, accès restreint au stockage de fichiers ;
• authentification forte (double authentification optionnelle) ;
• journalisation et supervision ;
• hachage des mots de passe (algorithme scrypt) ;
• procédure de notification de violation (art. 33-34) avec point unique CNIL.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, EXE notifie la CNIL sous 72 heures et vous informe directement si le risque est élevé.

11 — Mineurs

Le service est réservé aux personnes majeures (18 ans révolus). L'âge est déclaré lors de l'inscription et le parcours d'inscription refuse les personnes de moins de 18 ans. EXE ne collecte pas sciemment de données de mineurs ; en cas de signalement, le compte est immédiatement clôturé et les données supprimées.

Le seuil français de 15 ans (article 8 RGPD, mis en œuvre par la loi n° 2018-493 du 20 juin 2018 — article 45 de la loi Informatique et Libertés) est ici sans objet, l'inscription étant contractuellement réservée aux majeurs.

12 — Modification de la Politique

EXE peut modifier la présente Politique pour refléter une évolution réglementaire ou fonctionnelle. Toute modification substantielle (nouveau traitement, nouveau sous-traitant, modification des durées) est notifiée par email et fait l'objet d'une nouvelle version datée en tête du document. En cas de modification matérielle des bases de consentement (art. 9 ou art. 22), un nouveau consentement explicite est requis.

13 — Contact et réclamations

• Pour toute question RGPD : dpo@exefit.app
• Pour le service client : support@exefit.app
• Pour une réclamation auprès de l'autorité de contrôle : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr/fr/plaintes