⚠️ Canevas RGPD à faire valider par un DPO ou avocat avant exploitation. Les zones marquées [À COMPLÉTER] contiennent des éléments spécifiques à votre structure.
1. Responsable de traitement
Le responsable du traitement est TS Nutrition Coaching (cf. Mentions légales). Pour toute question : [À COMPLÉTER : email DPO / contact].
2. Données collectées
2.1 Données d'identification
- Nom, prénom, email, téléphone (si renseigné)
- Identifiants de connexion (email + mot de passe haché)
2.2 Données de santé / nutritionnelles
- Taille, poids, âge, sexe, niveau d'activité, objectif
- Allergies et restrictions alimentaires
- Données de suivi hebdomadaire (poids, mensurations, ressenti)
Ces données sont qualifiées de données sensibles au sens de l'article 9 du RGPD. Elles font l'objet de mesures de protection renforcées.
2.3 Données de paiement
Les données de paiement (numéro de carte, date d'expiration, CVC) sont traitées directement par Stripe Payments Europe Ltd (responsable de traitement). TS Nutrition ne stocke ni ne voit ces données. Nous ne recevons que des identifiants techniques (Customer ID, Subscription ID) et le statut de l'abonnement.
2.4 Données de communication
- Messages échangés avec votre diététicien
- Historique des rendez-vous
3. Finalités et bases légales
- Fourniture du service (menus, suivi, messagerie) — base légale : exécution du contrat (art. 6.1.b RGPD)
- Gestion des paiements — base légale : exécution du contrat
- Sécurité de la plateforme (logs d'authentification) — base légale : intérêt légitime (art. 6.1.f)
- Traitement des données de santé — base légale : consentement explicite (art. 9.2.a) recueilli à l'inscription
- Communications transactionnelles (confirmation d'abonnement, alertes paiement…) — base légale : exécution du contrat
4. Destinataires des données
- Votre diététicien-nutritionniste (uniquement les données nécessaires à votre suivi : profil nutritionnel, check-ins, messages)
- Le siège TS Nutrition (admin) pour le pilotage qualité du réseau (lecture seule sur les données agrégées)
- Sous-traitants techniques :
- Supabase (Allemagne — base de données et authentification)
- Stripe Payments Europe Ltd (Irlande — paiements)
- Resend (États-Unis — emails transactionnels, encadré DPF)
- Vercel (États-Unis — hébergement de l'application)
Tous nos sous-traitants sont liés par un Data Processing Agreement et offrent un niveau de protection conforme au RGPD (clauses contractuelles types ou Data Privacy Framework pour les transferts États-Unis).
5. Durée de conservation
- Données de compte : pendant toute la durée de l'abonnement + 3 ans après la dernière activité
- Données de paiement (côté nous) : 10 ans (obligation comptable)
- Données de santé : suppression sur demande ou après 3 ans d'inactivité
- Logs techniques : 12 mois
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits :
- D'accès à vos données
- De rectification de données inexactes
- D'effacement ("droit à l'oubli")
- De portabilité (export de vos données)
- D'opposition au traitement
- De limitation du traitement
- De retirer votre consentement à tout moment
Pour exercer ces droits : [À COMPLÉTER : email contact RGPD]. Une réponse vous sera apportée dans un délai maximum d'un mois.
Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
7. Sécurité
- Chiffrement TLS 1.3 pour tous les échanges
- Mots de passe stockés hachés (bcrypt)
- Row Level Security PostgreSQL — isolation stricte des données par utilisateur
- Hébergement en Union Européenne (Allemagne / France)
- Sauvegardes quotidiennes
8. Cookies
Voir la page dédiée Politique cookies.