Politique de confidentialité
Version 2.2 — Dernière mise à jour : 10 juillet 2026
1. Identité de l'éditeur
- Raison sociale : SAS SEBBAP, société par actions simplifiée au capital de 500 euros
- Siège social : 138 Avenue Victor Hugo, 75016 Paris
- RCS : 107 257 305 R.C.S. Paris
- Président : Sebastien Espanol
- Directeur général : Baptiste Grelier
- Plateforme : Kore Coach, accessible à l'adresse https://www.kore.coach
- Contact : contact@kore.coach
- Délégué à la protection des données (DPO) : contact@kore.coach
2. Modèle de responsabilité (B2B2C)
La plateforme Kore Coach fonctionne selon un modèle B2B2C. A ce titre, les rôles RGPD sont répartis comme suit :
- Le Coach (professionnel inscrit sur la plateforme) est le responsable de traitementau sens de l'article 4(7) du RGPD pour les données de ses clients.
- SAS SEBBAP agit en tant que sous-traitantau sens de l'article 28 du RGPD. Un accord de traitement des données (DPA) encadre cette relation.
- Le Client est la personne concernéeau sens de l'article 4(1) du RGPD.
3. Données collectees et finalités
3.1 Données d'identification
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Nom, prénom, email | Création de compte, communication | Contrat | Durée du contrat + 1 an |
| Photo de profil | Personnalisation | Consentement | Durée du contrat |
| Nom, email, message (formulaire de contact) | Répondre à une demande entrante | Intérêt légitime (Art. 6.1.f) | 12 mois |
3.2 Données de santé (Art. 9 RGPD — catégorie spéciale)
Ces données font l'objet d'un consentement explicite préalable (recueilli lors de la première connexion via un dialogue dédié) et sont hébergées sur un serveur certifié HDS (Hébergeur de Données de Santé).
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Poids, mensurations, taux de masse grasse | Suivi de progression physique | Consentement explicite | Durée relation + 1 an |
| Check-ins santé (humeur, sommeil, digestion, énergie) | Suivi du bien-etre quotidien | Consentement explicite | Durée relation + 1 an |
| Données médicales (FC repos, tension artérielle, glycémie) | Suivi santé | Consentement explicite | Durée relation + 1 an |
| Cycle menstruel (phase, flux, symptômes) | Adaptation du programme d'entraînement | Consentement explicite | Durée relation + 1 an |
| Photos corporelles (postures) | Suivi visuel de progression | Consentement explicite | Durée relation + 6 mois |
| Alertes santé (TCA, SII) | Sécurité du suivi | Intérêt vital | Durée relation + 1 an |
| Plans nutritionnels (macros, repas) | Prescription nutritionnelle | Contrat | Durée relation + 1 an |
| Bilans (analyse, feedback, notes vocales) | Évaluation périodique | Contrat | Durée relation + 1 an |
3.3 Données d'activité (non-sante)
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Séances (exercices, séries, charges, performance) | Programme d'entraînement | Contrat | Durée relation + 1 an |
| Activités libres (sport hors programme) | Suivi d'activité | Consentement | Durée relation + 1 an |
| Messages chat | Communication coach-client | Contrat | 2 ans |
3.4 Données techniques
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Logs d'audit santé (acteur, action, IP) | Traçabilité HDS | Obligation légale | 5 ans |
| Session JWT (Clerk) | Authentification | Contrat | Durée de session |
| Abonnement Stripe (customerID, statut) | Facturation | Contrat | Durée contrat + obligations fiscales |
4. Sous-traitants
Les données sont traitées par les sous-traitants suivants, tous situés dans l'UE ou avec des garanties adéquates (clauses contractuelles types — CCT) :
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| Scalingo SAS | Hébergement application et base de données (HDS) | France (osc-fr1) | Certifié HDS |
| Clerk Inc. | Authentification utilisateur | USA | CCT |
| Stripe Inc. | Traitement des paiements | USA | CCT |
| Cloudflare Inc. (R2) | Stockage de fichiers (photos, vidéos, audio) | UE | CCT |
| Pusher Ltd. | Messages en temps réel (transit uniquement) | UE (cluster eu) | RGPD UE |
| Resend Inc. | Envoi d'emails transactionnels | USA | CCT |
| Scaleway SAS | Assistant IA coach et génération de repas (modèle hébergé) | UE (France, fr-par) | RGPD UE |
| Upstash Inc. | Rate limiting (Redis) | UE | RGPD UE |
| Sentry Inc. | Monitoring et suivi d'erreurs | USA | CCT |
| Crisp IM SAS | Messagerie de support client (uniquement sur le site public et l'espace coach, jamais sur l'application client) | France (Nantes) | RGPD UE |
5. Vos droits
Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :
- Droit d'accès (Art. 15) : Obtenir confirmation que vos données sont traitées et en obtenir une copie.
- Droit de rectification (Art. 16) : Corriger des données inexactes ou incomplètes.
- Droit à l'effacement (Art. 17): Demander la suppression de vos données. Disponible depuis votre profil ("Supprimer mon compte"). Délai de grâce de 30 jours, puis suppression définitive en cascade (données personnelles, données de santé, photos, compte Clerk, abonnement Stripe).
- Droit à la portabilité (Art. 20): Exporter vos données dans un format structure (JSON). Les données d'activité sont téléchargeables immédiatement. Les données de santé font l'objet d'une demande validée par le référent santé.
- Droit d'opposition (Art. 21) : Vous opposer au traitement de vos données pour motif légitime.
- Droit de limitation (Art. 18) : Limiter le traitement dans certains cas.
- Retrait du consentement (Art. 7) : Retirer votre consentement à tout moment, sans affecter la légalité du traitement antérieur.
Comment exercer vos droits :
- Clients :connectez-vous à votre espace client ("Mon profil" > "Mes données") pour exporter ou supprimer vos données.
- Coachs :rendez-vous dans "Paramètres" > "Supprimer mon compte".
- Par email : contactez notre DPO à contact@kore.coach ou écrivez à contact@kore.coach.
6. Sécurité des données
Nous mettons en oeuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :
- Hébergement certifié HDS (Hébergeur de Données de Santé) chez Scalingo SAS, datacenter osc-fr1 (France)
- Chiffrement TLS en transit (HTTPS force, HSTS)
- Chiffrement au repos par le fournisseur d'hébergement
- Audit trail complet : chaque accès aux données de santé est tracé (acteur, action, date, IP)
- Authentification sécurisée via Clerk (sessions JWT, MFA disponible)
- Protection IDOR multi-tenant sur toutes les ressources
- Rate limiting sur toutes les mutations (Upstash Redis)
- Validation des entrées (Zod) contre les injections
- CSP (Content Security Policy) avec nonces
- Cookies sécurisés (httpOnly, secure, SameSite)
- Monitoring des erreurs et alertes (Sentry)
7. Conservation des données
| Type de donnée | Durée de conservation |
|---|---|
| Audit logs santé | 5 ans (obligation HDS) |
| Check-ins, bilans, nutrition | Durée de la relation + 1 an |
| Messages | 2 ans |
| Photos/videos | Durée de la relation + 6 mois |
| Notes vocales | Durée de la relation + 3 mois |
| Invitations expirées | 30 jours après expiration |
| Comptes supprimés | 30 jours (grâce), puis purge définitive |
Un processus automatisé de nettoyage (GDPR cleanup) purge les données ayant dépassé leur durée de conservation.
8. Cookies
Nous utilisons uniquement des cookies essentiels au fonctionnement de l'application (authentification, sécurité). Aucun cookie publicitaire ou de tracking n'est utilise. Consultez notre politique cookies pour plus de détails.
9. Transferts hors UE
Certains de nos sous-traitants sont situés aux États-Unis (Clerk, Stripe, Resend, Sentry). Ces transferts sont encadrés par des clauses contractuelles types (CCT) approuvées par la Commission européenne, conformément à l'article 46(2)(c) du RGPD.
Les données de santé sont exclusivement hébergées en France (Scalingo osc-fr1, certifié HDS). Aucune donnée de santé n'est transférée hors de l'UE.
10. Réclamation
Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez :
- Contacter notre DPO : contact@kore.coach
- Introduire une réclamation auprès de la CNIL(Commission Nationale de l'Informatique et des Libertés) :
- Site web : www.cnil.fr
- Adresse : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
11. Documents complémentaires
Cette politique de confidentialité est complétée par :