Politique de confidentialite
Version 2.2 — Derniere mise a jour : 10 juillet 2026
1. Identite de l'editeur
- Raison sociale : SAS SEBBAP, societe par actions simplifiee au capital de 500 euros
- Siege social : 138 Avenue Victor Hugo, 75016 Paris
- RCS : 107 257 305 R.C.S. Paris
- President : Sebastien Espanol
- Directeur general : Baptiste Grelier
- Plateforme : Kore Coach, accessible a l'adresse https://www.kore.coach
- Contact : contact@kore.coach
- Delegue a la protection des donnees (DPO) : contact@kore.coach
2. Modele de responsabilite (B2B2C)
La plateforme Kore Coach fonctionne selon un modele B2B2C. A ce titre, les roles RGPD sont repartis comme suit :
- Le Coach (professionnel inscrit sur la plateforme) est le responsable de traitementau sens de l'article 4(7) du RGPD pour les donnees de ses clients.
- SAS SEBBAP agit en tant que sous-traitantau sens de l'article 28 du RGPD. Un accord de traitement des donnees (DPA) encadre cette relation.
- Le Client est la personne concerneeau sens de l'article 4(1) du RGPD.
3. Donnees collectees et finalites
3.1 Donnees d'identification
| Donnee | Finalite | Base legale | Duree |
|---|---|---|---|
| Nom, prenom, email | Creation de compte, communication | Contrat | Duree du contrat + 1 an |
| Photo de profil | Personnalisation | Consentement | Duree du contrat |
3.2 Donnees de sante (Art. 9 RGPD — categorie speciale)
Ces donnees font l'objet d'un consentement explicite prealable (recueilli lors de la premiere connexion via un dialogue dedie) et sont hebergees sur un serveur certifie HDS (Hebergeur de Donnees de Sante).
| Donnee | Finalite | Base legale | Duree |
|---|---|---|---|
| Poids, mensurations, taux de masse grasse | Suivi de progression physique | Consentement explicite | Duree relation + 1 an |
| Check-ins sante (humeur, sommeil, digestion, energie) | Suivi du bien-etre quotidien | Consentement explicite | Duree relation + 1 an |
| Donnees medicales (FC repos, tension arterielle, glycemie) | Suivi sante | Consentement explicite | Duree relation + 1 an |
| Cycle menstruel (phase, flux, symptomes) | Adaptation du programme d'entrainement | Consentement explicite | Duree relation + 1 an |
| Photos corporelles (postures) | Suivi visuel de progression | Consentement explicite | Duree relation + 6 mois |
| Alertes sante (TCA, SII) | Securite du suivi | Interet vital | Duree relation + 1 an |
| Plans nutritionnels (macros, repas) | Prescription nutritionnelle | Contrat | Duree relation + 1 an |
| Bilans (analyse, feedback, notes vocales) | Evaluation periodique | Contrat | Duree relation + 1 an |
3.3 Donnees d'activite (non-sante)
| Donnee | Finalite | Base legale | Duree |
|---|---|---|---|
| Seances (exercices, series, charges, performance) | Programme d'entrainement | Contrat | Duree relation + 1 an |
| Activites libres (sport hors programme) | Suivi d'activite | Consentement | Duree relation + 1 an |
| Messages chat | Communication coach-client | Contrat | 2 ans |
3.4 Donnees techniques
| Donnee | Finalite | Base legale | Duree |
|---|---|---|---|
| Logs d'audit sante (acteur, action, IP) | Tracabilite HDS | Obligation legale | 5 ans |
| Session JWT (Clerk) | Authentification | Contrat | Duree de session |
| Abonnement Stripe (customerID, statut) | Facturation | Contrat | Duree contrat + obligations fiscales |
4. Sous-traitants
Les donnees sont traitees par les sous-traitants suivants, tous situes dans l'UE ou avec des garanties adequates (clauses contractuelles types — CCT) :
| Sous-traitant | Finalite | Localisation | Garanties |
|---|---|---|---|
| Scalingo SAS | Hebergement application et base de donnees (HDS) | France (osc-fr1) | Certifie HDS |
| Clerk Inc. | Authentification utilisateur | USA | CCT |
| Stripe Inc. | Traitement des paiements | USA | CCT |
| Cloudflare Inc. (R2) | Stockage de fichiers (photos, videos, audio) | UE | CCT |
| Pusher Ltd. | Messages en temps reel (transit uniquement) | UE (cluster eu) | RGPD UE |
| Resend Inc. | Envoi d'emails transactionnels | USA | CCT |
| Scaleway SAS | Assistant IA coach et generation de repas (modele heberge) | UE (France, fr-par) | RGPD UE |
| Upstash Inc. | Rate limiting (Redis) | UE | RGPD UE |
| Sentry Inc. | Monitoring et suivi d'erreurs | USA | CCT |
| Crisp IM SAS | Messagerie de support client (uniquement sur le site public et l'espace coach, jamais sur l'application client) | France (Nantes) | RGPD UE |
5. Vos droits
Conformement au RGPD (articles 15 a 22), vous disposez des droits suivants :
- Droit d'acces (Art. 15) : Obtenir confirmation que vos donnees sont traitees et en obtenir une copie.
- Droit de rectification (Art. 16) : Corriger des donnees inexactes ou incompletes.
- Droit a l'effacement (Art. 17): Demander la suppression de vos donnees. Disponible depuis votre profil ("Supprimer mon compte"). Delai de grace de 30 jours, puis suppression definitive en cascade (donnees personnelles, donnees de sante, photos, compte Clerk, abonnement Stripe).
- Droit a la portabilite (Art. 20): Exporter vos donnees dans un format structure (JSON). Les donnees d'activite sont telechargeables immediatement. Les donnees de sante font l'objet d'une demande validee par le referent sante.
- Droit d'opposition (Art. 21) : Vous opposer au traitement de vos donnees pour motif legitime.
- Droit de limitation (Art. 18) : Limiter le traitement dans certains cas.
- Retrait du consentement (Art. 7) : Retirer votre consentement a tout moment, sans affecter la legalite du traitement anterieur.
Comment exercer vos droits :
- Clients :connectez-vous a votre espace client ("Mon profil" > "Mes donnees") pour exporter ou supprimer vos donnees.
- Coachs :rendez-vous dans "Parametres" > "Supprimer mon compte".
- Par email : contactez notre DPO a contact@kore.coach ou ecrivez a contact@kore.coach.
6. Securite des donnees
Nous mettons en oeuvre les mesures techniques et organisationnelles suivantes pour proteger vos donnees :
- Hebergement certifie HDS (Hebergeur de Donnees de Sante) chez Scalingo SAS, datacenter osc-fr1 (France)
- Chiffrement TLS en transit (HTTPS force, HSTS)
- Chiffrement au repos par le fournisseur d'hebergement
- Audit trail complet : chaque acces aux donnees de sante est trace (acteur, action, date, IP)
- Authentification securisee via Clerk (sessions JWT, MFA disponible)
- Protection IDOR multi-tenant sur toutes les ressources
- Rate limiting sur toutes les mutations (Upstash Redis)
- Validation des entrees (Zod) contre les injections
- CSP (Content Security Policy) avec nonces
- Cookies securises (httpOnly, secure, SameSite)
- Monitoring des erreurs et alertes (Sentry)
7. Conservation des donnees
| Type de donnee | Duree de conservation |
|---|---|
| Audit logs sante | 5 ans (obligation HDS) |
| Check-ins, bilans, nutrition | Duree de la relation + 1 an |
| Messages | 2 ans |
| Photos/videos | Duree de la relation + 6 mois |
| Notes vocales | Duree de la relation + 3 mois |
| Invitations expirees | 30 jours apres expiration |
| Comptes supprimes | 30 jours (grace), puis purge definitive |
Un processus automatise de nettoyage (GDPR cleanup) purge les donnees ayant depasse leur duree de conservation.
8. Cookies
Nous utilisons uniquement des cookies essentiels au fonctionnement de l'application (authentification, securite). Aucun cookie publicitaire ou de tracking n'est utilise. Consultez notre politique cookies pour plus de details.
9. Transferts hors UE
Certains de nos sous-traitants sont situes aux Etats-Unis (Clerk, Stripe, Resend, Sentry). Ces transferts sont encadres par des clauses contractuelles types (CCT) approuvees par la Commission europeenne, conformement a l'article 46(2)(c) du RGPD.
Les donnees de sante sont exclusivement hebergees en France (Scalingo osc-fr1, certifie HDS). Aucune donnee de sante n'est transferee hors de l'UE.
10. Reclamation
Si vous estimez que le traitement de vos donnees n'est pas conforme, vous pouvez :
- Contacter notre DPO : contact@kore.coach
- Introduire une reclamation aupres de la CNIL(Commission Nationale de l'Informatique et des Libertes) :
- Site web : www.cnil.fr
- Adresse : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
11. Documents complementaires
Cette politique de confidentialite est completee par :