1. Responsable du traitement
Le responsable du traitement des données personnelles collectées via la plateforme YogaMocap est Nexcellis SAS (17B rue Théophile Gauthier, 33700 Mérignac, France), ci-après « nous ». Pour toute question relative à vos données : contact@yogamocap.com.
2. Données que nous traitons
- Données de compte : adresse e-mail, mot de passe (haché, jamais stocké en clair), téléphone le cas échéant, rôle (élève, coach, administrateur), langue de l'interface, identifiant Google si vous utilisez la connexion Google.
- Données de profil : nom, prénom, pseudonyme, avatar, et pour les profils pratiquants (y compris les profils enfants créés dans un compte famille) : nom d'affichage et date de naissance.
- Données de pratique : scores, angles articulaires calculés, durée et historique des séances, badges et progression. La vidéo de votre caméra n'est jamais transmise ni stockée (voir section 4).
- Données de facturation : statut d'abonnement, historique de paiement et identifiants Stripe. Nous ne stockons jamais vos numéros complets de carte bancaire.
- Données spécifiques aux coachs : biographie, certifications, SIRET, localisation du studio, identifiant de compte de paiement Stripe. Les coordonnées bancaires et les données d'identification nécessaires à l'ouverture de ce compte sont collectées directement par Stripe, qui agit pour ces données en qualité de responsable de traitement, conformément à sa propre politique de confidentialité.
- Données de support : messages adressés au support et tickets associés.
- Données techniques : journaux de connexion, adresse IP, type de navigateur, identifiants de session — à des fins de sécurité et de diagnostic.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Création et gestion du compte, fourniture des fonctionnalités (séances, suivi, mise en relation coach/élève) | Exécution du contrat |
| Facturation, gestion des abonnements et reversements aux coachs | Exécution du contrat et obligation légale (comptabilité) |
| Analyse de posture par caméra (traitement local, voir section 4) | Exécution du contrat — la caméra n'est activée qu'à votre initiative |
| Sécurité de la plateforme, prévention de la fraude, journalisation | Intérêt légitime (protéger le service et ses utilisateurs) |
| E-mails de service (vérification, réinitialisation de mot de passe, factures) | Exécution du contrat |
| E-mails d'accompagnement (rappel d'inactivité — au plus un par période d'inactivité — et information de la fin d'une période d'accès offert, avec proposition d'abonnement au coach concerné) | Intérêt légitime, incluant la prospection pour des services analogues (art. L34-5 CPCE) — vous pouvez vous y opposer à tout moment (lien de désinscription présent dans chaque e-mail et réglage dans votre profil) |
| Statistiques agrégées et amélioration du service | Intérêt légitime (données agrégées, non identifiantes) |
| Réponse aux demandes des autorités | Obligation légale |
4. Caméra — traitement entièrement local
L'analyse de posture en temps réel s'exécute entièrement dans votre navigateur, sur votre appareil. Le flux vidéo de votre caméra n'est jamais transmis à nos serveurs ni à des tiers : seuls des résultats dérivés non visuels (angles articulaires, scores, durée de séance) sont enregistrés pour alimenter votre historique et votre progression.
Les points de repère corporels et angles articulaires calculés lors de l'analyse sont des mesures géométriques dérivées : ils ne permettent pas d'identifier une personne et ne sont utilisés à aucune fin d'identification ou d'authentification. Ils ne constituent donc pas des données biométriques au sens de l'article 9 du RGPD ; ils sont rattachés à votre compte au même titre que vos autres données de pratique.
Les fichiers techniques nécessaires à cette analyse (modèles) sont servis directement par YogaMocap, sans CDN tiers. Si vous refusez l'accès à la caméra, les fonctionnalités d'analyse ne seront simplement pas disponibles ; le reste du service demeure utilisable.
5. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées de notre équipe et aux sous-traitants suivants, chacun pour la stricte finalité indiquée :
| Prestataire | Finalité | Localisation |
|---|---|---|
| OVH SAS | Hébergement de la plateforme et des données | France (Union européenne) |
| Stripe Payments Europe / Stripe Inc. | Traitement des paiements et reversements | UE / États-Unis (clauses contractuelles types et cadre de protection des données UE-USA) |
| Resend | Envoi des e-mails transactionnels | États-Unis (clauses contractuelles types) |
| Google (uniquement si vous utilisez « Continuer avec Google ») | Authentification déléguée | UE / États-Unis (cadre de protection des données UE-USA) |
| Sentry (Functional Software, Inc.) | Supervision des erreurs applicatives — identifiants techniques et contexte d'erreur, à l'exclusion de tout contenu de pratique | Données hébergées en Union européenne |
Les coachs accèdent aux données de pratique de leurs élèves dans la limite de la relation pédagogique (et à un affichage anonymisé lorsque l'élève a rendu son profil privé). Nous ne vendons ni ne louons vos données à quiconque.
6. Transferts hors Union européenne
Nos données sont hébergées en France. Certains sous-traitants (Stripe, Resend, Google) peuvent traiter des données aux États-Unis ; ces transferts sont encadrés par les mécanismes prévus au chapitre V du RGPD (clauses contractuelles types de la Commission européenne et, le cas échéant, certification au cadre de protection des données UE-États-Unis).
7. Durées de conservation
| Données | Durée |
|---|---|
| Compte et profils | Durée de vie du compte ; anonymisation à la suppression du compte |
| Historique de pratique | Durée de vie du compte ; dissocié de votre identité après suppression |
| Factures et données comptables | 10 ans (obligation légale comptable) |
| Messages au support | Anonymisés lors de la suppression de votre compte |
| Journaux techniques (logs) | 12 mois maximum |
| Jetons de réinitialisation de mot de passe | 30 jours après usage ou expiration |
| Jetons d'accès par carte QR | 90 jours après remplacement ou révocation (les jetons actifs sont conservés pendant toute la durée de l'accès) |
| Journaux techniques de notification par email | 12 mois |
| Journaux techniques des événements de paiement | 12 mois (les pièces comptables sont conservées conformément aux obligations légales) |
| Pseudonymes des accès créés par un établissement | Anonymisés 24 mois après la fin de l'accès ; les mesures de pratique sont alors conservées sous forme anonymisée |
8. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment sans affecter la licéité des traitements antérieurs.
- Depuis votre profil, vous pouvez directement : télécharger une copie de vos données (portabilité), supprimer votre compte (effacement avec anonymisation), et désactiver les e-mails d'accompagnement (opposition).
- Pour toute autre demande, écrivez à contact@yogamocap.com ; un justificatif d'identité proportionné pourra vous être demandé pour prévenir toute usurpation. Nous répondons dans un délai d'un mois, prolongeable dans les conditions prévues par le RGPD.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
9. Profils enfants
Les comptes famille permettent au titulaire majeur du compte de créer des profils pratiquants pour ses enfants (nom d'affichage, date de naissance). Ces profils sont créés et administrés sous la seule responsabilité du titulaire du compte, qui exerce pour eux les droits décrits ci-dessus. Les enfants ne créent pas de compte eux-mêmes et aucune communication commerciale ne leur est adressée. La suppression du compte entraîne l'anonymisation de l'ensemble des profils associés.
Les profils enfants ne disposent d'aucun identifiant propre : pas d'adresse email, pas de mot de passe, pas de connexion autonome. Ils sont exclusivement rattachés au compte du titulaire majeur et le nom d'affichage peut être un simple pseudonyme. Les données associées à un profil enfant ne permettent pas de l'identifier en dehors du compte auquel il est rattaché.
10. Pratiquants d'un établissement
Lorsque votre accès est créé par un établissement (voir nos conditions d'utilisation), les données vous concernant sur la plateforme se limitent à : votre pseudonyme, le type de votre profil (adulte ou enfant), vos mesures de pratique (scores, angles, durées, progression) et des éléments techniques de connexion. Aucune adresse électronique, aucun nom et aucune donnée de contact ne sont collectés par la plateforme pour ce type d'accès.
S'agissant des données des pratiquants d'un établissement, l'établissement agit en qualité de responsable du traitement et Nexcellis en qualité de sous-traitant au sens de l'article 28 du RGPD : Nexcellis ne traite ces données que pour fournir le service, sur instruction de l'établissement. Les durées de conservation applicables figurent à la section « Durées de conservation » ci-dessus.
Les pratiquants mineurs dont l'accès est créé par un établissement bénéficient des mêmes protections que les profils enfants décrits ci-dessus ; le recueil des autorisations des représentants légaux, lorsqu'elles sont requises, incombe à l'établissement.
Pour exercer vos droits (accès, rectification, effacement…) sur ces données, vous pouvez vous adresser à votre établissement ou directement à nous ; chacun transmet à l'autre les demandes qui le concernent.
11. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des communications (HTTPS), hachage robuste des mots de passe (Argon2), contrôle d'accès par rôles, journalisation et sauvegardes régulières. Aucune mesure n'étant absolue, protégez vos identifiants et signalez-nous sans délai toute suspicion de compromission.
13. Contact et mise à jour
Pour toute question relative à cette politique ou à vos données personnelles : contact@yogamocap.com. Cette politique peut être mise à jour ; la date de dernière mise à jour figure en haut de page et toute évolution substantielle sera portée à votre connaissance par un moyen approprié.
14. Langue
La présente politique est rédigée en français, seule version faisant foi. Les versions anglaise et espagnole sont fournies à titre d'information.