Politique de Confidentialité — Atymus

Version : 1.7 Dernière mise à jour : 09/10/2026 Champ réglementaire initial : Union européenne (lancement en France + expansion progressive UE) Langue de référence : Français. Des versions en portugais, anglais et espagnol sont disponibles à titre informatif. En cas de divergence d'interprétation, la version française prévaut (juridiction initiale).

1. Qui sommes-nous

La présente Politique de Confidentialité décrit la manière dont l'application mobile Atymus (« Atymus », « l'Application », « nous ») collecte, utilise, conserve et partage vos données personnelles.

Responsable du traitement des données (au sens de l'article 4, 7) du RGPD) :

Felipe Oliveira Personne physique, résidant à Aix-en-Provence, France Contact : admin@atymus.com

Atymus est exploité conformément à : - Règlement (UE) 2016/679 — Règlement général sur la protection des données (RGPD) - Loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés) - Recommandations de la Commission Nationale de l'Informatique et des Libertés (CNIL)

Atymus est destiné initialement aux résidents de l'Union européenne. Les utilisateurs résidant en dehors de l'UE doivent être conscients que les règles décrites ici reposent sur le standard RGPD, généralement plus protecteur que ce qui est exigé dans d'autres juridictions. L'extension formelle à d'autres marchés (Brésil, États-Unis, etc.) fera l'objet d'une mise à jour spécifique de la présente Politique.

2. Qu'est-ce qu'Atymus

Atymus est une application de bien-être et de fitness (wellness) destinée à vous aider à suivre vos habitudes de santé — alimentation, sommeil, activité physique et mesures corporelles. L'Application propose une analyse personnalisée par intelligence artificielle et fonctionne par abonnement récurrent.

⚠️ Atymus N'EST PAS un dispositif médical. Il ne diagnostique, ne traite, ne prévient ni ne guérit aucune affection clinique. Les contenus et suggestions proposés ont une vocation éducative et de suivi personnel, et ne se substituent en aucun cas à l'avis d'un professionnel de santé qualifié. Consultez toujours votre médecin avant tout changement significatif de régime alimentaire, d'entraînement ou de mode de vie.

3. Quelles données nous collectons

Nous ne collectons que les données nécessaires au fonctionnement de l'Application et aux finalités décrites à la section 4.

3.1. Données d'identification et de compte

• Adresse e-mail
• Nom ou identifiant choisi par vous
• Mot de passe (stocké sous forme chiffrée par Firebase Authentication ; nous n'y avons jamais accès en clair)
• Date de naissance
• Genre (auto-déclaré)
• Pays de résidence et langue préférée

3.2. Données sensibles de santé — catégorie particulière de données (RGPD, article 9)

Ces données bénéficient d'un niveau de protection renforcé. Nous traitons les éléments suivants :

• Mesures corporelles : poids, taille, pourcentage de masse grasse, pourcentage de masse musculaire, pourcentage d'eau corporelle, graisse viscérale, âge métabolique (à partir d'une balance d'impédancemétrie manuelle ou via photo)
• Alimentation : aliments consommés, quantités, photos de repas, valeurs nutritionnelles (calories, protéines, glucides, lipides), objectifs nutritionnels
• Sommeil : durée, qualité perçue, niveau d'énergie au réveil, niveau de stress, humeur
• Activité physique : type d'entraînement, durée, exercices réalisés, séries, répétitions, charges, intensité perçue (RPE), distance, calories estimées
• Score de vitalité : valeur agrégée calculée à partir des données ci-dessus, reflétant votre niveau général de bien-être
• Données des appareils que vous connectez : fréquence cardiaque, sommeil mesuré, pas et les autres données décrites à la section 3.6

3.3. Données d'usage et d'interaction avec l'IA

• Messages envoyés à l'assistant conversationnel (chat IA)
• Enregistrements audio et leurs transcriptions (lorsque vous utilisez la fonction vocale)
• Historique d'interactions pour la personnalisation des réponses
• Journaux d'utilisation de l'IA (modèle utilisé, jetons, coût) — utilisés uniquement pour la facturation interne de votre abonnement

3.4. Données techniques et diagnostic

• Type d'appareil, système d'exploitation et version
• Identifiants uniques de l'application (non directement liés à votre identité en dehors de l'Application)
• Fuseau horaire
• Rapports de plantage (crash reports) — collectés via Firebase Crashlytics
• Métriques d'usage agrégées et anonymes — via Firebase Analytics (vous pouvez les désactiver dans les paramètres)

3.5. Données d'abonnement

• État de l'abonnement (formule en cours, date de renouvellement, crédits consommés)
• Identifiant anonyme de transaction fourni par Apple App Store ou Google Play Store

Nous ne collectons aucune donnée bancaire ni numéro de carte de crédit. Les paiements sont traités exclusivement par Apple et Google dans leurs systèmes respectifs, selon leurs propres politiques de confidentialité.

3.6. Données des appareils et services que vous connectez (facultatif)

Aucune connexion n'a lieu sans votre action : chacune est activée par vous dans Paramètres > Intégrations et peut être désactivée à tout moment.

• Santé Connect (Health Connect, Android) : avec les autorisations que vous accordez dans Santé Connect, Atymus peut lire vos entraînements (type, horaire, durée, distance, calories, fréquence cardiaque, dénivelé), vos pas, votre sommeil, votre fréquence cardiaque au repos et la variabilité de votre fréquence cardiaque. Atymus ne lit ni le poids ni la masse grasse dans Santé Connect : les pesées viennent uniquement de ce que vous enregistrez dans Atymus. Vous pouvez retirer chaque autorisation dans Santé Connect. Atymus ne fait que lire : il n'écrit jamais dans Santé Connect, et la lecture a lieu lorsque l'Application est ouverte.
• Polar (connexion directe, fonctionnalité Premium) : en connectant votre compte Polar Flow, vous autorisez Polar Electro Oy à nous transmettre, via l'API officielle de Polar (AccessLink) : les entraînements envoyés à votre compte après la connexion (sport, horaire, durée, calories, distance, fréquence cardiaque moyenne, maximale et au fil de l'entraînement, temps passé dans chaque zone de fréquence cardiaque, les limites de chaque zone, la charge cardio calculée par Polar et l'appareil qui a enregistré l'entraînement), l'activité de la journée (pas, calories actives, distance), vos nuits (durée et phases du sommeil, et la variabilité de la fréquence cardiaque mesurée par Polar pendant la nuit) et votre profil de forme chez Polar (VO2max, fréquence cardiaque maximale et au repos, seuils aérobie et anaérobie). Le poids, la taille, la date de naissance et le genre que Polar transmet avec ce profil sont supprimés dès leur réception : nous ne les conservons pas.
• Ce que nous conservons pour maintenir la connexion avec Polar : l'identifiant de votre compte Polar et l'identifiant d'accès (jeton) délivré par Polar, chiffré avec une clé dédiée. Nous n'envoyons à Polar qu'un identifiant opaque, nécessaire pour enregistrer la connexion ; aucune de vos données de santé ou de profil n'est envoyée à Polar.
• Lorsque vous vous déconnectez, nous demandons à Polar de révoquer l'accès et nous supprimons le jeton. Les entraînements déjà reçus restent dans votre historique, comme tout enregistrement de votre part, jusqu'à ce que vous les supprimiez.
• Lorsque le même entraînement arrive par deux chemins (par exemple par Polar et par Santé Connect), nous n'en gardons qu'une seule copie.
• Les données importées sont traitées comme celles que vous saisissez : elles apparaissent dans vos écrans avec leur origine indiquée, peuvent être prises en compte dans les analyses de l'IA (section 12) et suivent les mêmes durées de conservation et les mêmes droits que ceux décrits dans la présente Politique. Elles ne sont jamais vendues ni utilisées à des fins publicitaires.
• Parcours des activités en plein air (localisation) : lorsqu'un entraînement en plein air (course, marche, randonnée, vélo) est enregistré avec le GPS, Polar nous transmet le chemin parcouru (points de latitude et de longitude au fil de l'entraînement) ; depuis Santé Connect, le chemin n'est lu que si vous accordez l'autorisation spécifique au parcours. Nous ne conservons qu'un tracé simplifié du chemin, sans le début ni la fin (par défaut, 200 m à chaque extrémité sont coupés avant la conservation, pour protéger les abords de votre domicile), ainsi que les repères de chaque kilomètre. Le parcours sert uniquement à dessiner la carte dans le détail de l'activité : il n'est pas utilisé dans les analyses de l'IA ni dans le chat, et il ne va à votre coach que si vous avez laissé « Vos séances » activé pour lui (section 3.7). Dans Paramètres > Confidentialité & documents > Parcours des activités, vous pouvez cesser de recevoir le parcours, modifier le tronçon masqué (rien, 200 m ou 500 m) et supprimer les parcours conservés ; supprimer un entraînement supprime aussi son parcours.
• Polar est responsable des données de votre compte Polar, conformément à sa propre politique de confidentialité : https://www.polar.com/en/legal/privacy-notice

3.7. Partage avec votre coach (Atymus Studio)

Atymus Studio est l'outil du professionnel qui vous accompagne (coach sportif, entraîneur). Il ne voit vos données que si vous acceptez son invitation dans l'App, et seulement ce que vous laissez activé dans Votre coach > Ce qu'il voit. Vous pouvez modifier cela ou mettre fin au lien à tout moment : désactiver n'avertit personne, et mettre fin au lien coupe l'accès immédiatement.

Ce que montre chaque interrupteur (tous sont activés au départ, sauf la récupération) :

• Vos séances : vos séances et leur déroulement (durée, distance, allure, fréquence cardiaque et zones, effort, séries et charges, vos commentaires), vos pas et, pour les activités en plein air enregistrées avec GPS, la carte du parcours : le même tracé simplifié décrit à la section 3.6, sans le début et la fin que vous masquez. Si « Tout, pas seulement son programme » est désactivé, le coach ne voit que les séances qu'il a prescrites.
• Votre récupération (désactivée au départ) : le sommeil et la fréquence cardiaque au repos mesurés par votre montre.
• Nutrition : vos objectifs ; ce que vous avez mangé ; le contenu de chaque repas.
• Planification : votre semaine.
• Composition corporelle : poids, masse grasse, masse maigre et mensurations.
• Avant le lien : les 60 jours précédant votre acceptation.

Votre coach ne voit pas vos conversations avec l'IA, vos données de paiement ni rien de ce qui est désactivé. Si vous désactivez le parcours dans Paramètres > Confidentialité & documents > Parcours des activités, la carte cesse aussi d'apparaître pour lui. Votre coach est un professionnel indépendant et répond de l'usage qu'il fait de ce qu'il voit ; Atymus ne montre que ce que vous avez autorisé.

La conversation avec votre coach, WhatsApp et les rendez-vous. Tant que le lien est actif, vous et votre coach pouvez échanger dans Atymus, et vous seuls lisez cette conversation :

• Ce qui est conservé : les messages (texte, photos et ce qui est cité : une séance, une idée de repas, une pesée ou un rendez-vous), le moment où chacun les a lus (le « Vu ») et le silence que vous choisissez. Votre coach peut aussi envoyer le même message à plusieurs élèves à la fois : il arrive dans la conversation de chacun, marqué « à plusieurs élèves ».
• Les photos passent par notre serveur et sont conservées derrière un lien privé, jamais public. Elles sont supprimées à la fin du lien et à la suppression du compte.
• À la fin du lien, vous pouvez toujours lire la conversation, mais plus y écrire, et vous pouvez la supprimer quand vous voulez dans Vos données > Conversations avec d'anciens coachs ; votre coach perd l'accès et les photos sont supprimées. Si vous supprimez votre compte, vos conversations sont supprimées, photos comprises (section 7.3).
• Notifications sur le téléphone : le nom de votre coach et le début du message passent par Firebase Cloud Messaging (Google) pour que la notification s'affiche. Vous pouvez mettre une conversation en silence ou désactiver « Messages de votre coach » dans les réglages de la cloche. Si vous répondez depuis la notification elle-même, la réponse va directement à notre serveur.
• Votre WhatsApp : si vous indiquez votre numéro sur l'écran de votre coach, seul votre coach le voit. Vous le modifiez ou le supprimez quand vous voulez, et il est supprimé à la fin du lien.
• Les rendez-vous que votre coach fixe (un bilan ou un échange) arrivent dans l'App avec le type, le jour, l'heure et le lieu, et conservent votre réponse (« J'y serai » ou « Je ne pourrai pas »). Le rappel 1 heure avant est programmé par votre téléphone lui-même. Si votre coach s'abonne à son agenda dans un calendrier (Google, Apple), les rendez-vous y apparaissent avec le type et votre prénom, sans notes.

4. À quoi servent vos données (finalités)

Important : le traitement des données sensibles de santé n'a lieu qu'avec votre consentement explicite, recueilli lors de l'onboarding initial et révocable à tout moment. Vous pouvez retirer ce consentement à tout instant — dans ce cas, nous cessons le traitement et il se peut que nous ne puissions plus fournir le service.

5. Qui a accès à vos données (sous-traitants)

Nous ne vendons pas vos données. Nous partageons uniquement avec des prestataires techniques strictement nécessaires au fonctionnement de l'Application. Chacun de ces prestataires est contractuellement tenu de respecter le RGPD via un accord de traitement des données (Data Processing Agreement).

Transfert international de données : certains des prestataires ci-dessus traitent vos données en dehors de l'Union européenne, notamment aux États-Unis. Ces transferts sont effectués sur la base des Clauses Contractuelles Types approuvées par la Commission européenne, conformément à l'article 46 du RGPD. Vous pouvez en demander une copie en écrivant à admin@atymus.com.

Services que vous connectez : Santé Connect (Google) et Polar ne sont pas des sous-traitants d'Atymus : ce sont vos propres services, qui nous transmettent des données parce que vous l'avez autorisé. Polar Electro Oy (Professorintie 5, 90440 Kempele, Finlande) traite les données de votre compte Polar en tant que responsable de traitement indépendant.

Cartes : les images du fond de carte proviennent d'OpenFreeMap (service cartographique public, basé sur OpenStreetMap). L'App demande ces images directement à ce service, comme n'importe quelle carte sur internet : la demande contient l'adresse IP de votre appareil et la zone affichée, jamais votre chemin ni votre compte.

6. Durée de conservation de vos données

Vous pouvez demander la suppression immédiate de votre compte à tout moment (voir section 7).

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

7.1. Droit d'accès (art. 15)

Vous pouvez consulter à tout moment l'ensemble des données que nous collectons à votre sujet, directement dans les écrans de l'Application.

7.2. Droit de rectification (art. 16)

Vous pouvez corriger ou mettre à jour vos informations dans les paramètres de l'Application (Profil, Objectifs, Préférences).

7.3. Droit à l'effacement (« droit à l'oubli », art. 17)

Vous pouvez supprimer votre compte et toutes les données associées à tout moment, dans Paramètres > Compte > Supprimer mon compte. Le processus est irréversible et supprime : - Votre compte d'authentification - Tous les enregistrements (repas, entraînements, sommeil, mesures, impédancemétrie) - L'historique de chat avec l'IA - Les paramètres et préférences - Les photos envoyées - La connexion avec votre compte Polar (l'accès est révoqué auprès de Polar et le jeton est supprimé) - Le lien avec votre coach, s'il existe : il prend fin, et votre e-mail, votre WhatsApp, ses notes sur vous, les rendez-vous et votre conversation sont retirés de ses dossiers

Les sauvegardes sont effacées dans un délai de 30 jours suivant la demande. Les journaux soumis à une obligation légale de conservation (consentement, facturation) ne sont conservés que pendant les durées minimales exigées par la loi et sous forme réduite.

7.4. Droit à la portabilité (art. 20)

Vous pouvez exporter toutes vos données dans un format structuré (JSON) dans Paramètres > Compte > Exporter mes données. Le fichier inclut : profil, repas, entraînements, sommeil, mesures, impédancemétrie, objectifs, historique de consentement, données d'abonnement et vos conversations avec votre coach. L'identifiant d'accès aux services connectés ne fait pas partie de l'export : c'est une clé d'accès, pas une donnée vous concernant.

7.5. Droit d'opposition (art. 21)

Vous pouvez vous opposer au traitement de données non essentielles (analytics, crash reports) dans Paramètres > Confidentialité > Télémétrie.

7.6. Droit à la limitation (art. 18)

Dans certaines circonstances spécifiques (contestation de l'exactitude, opposition à l'examen), vous pouvez demander la suspension temporaire de certains traitements. Écrivez à admin@atymus.com.

7.7. Droit de retirer le consentement (art. 7)

Vous pouvez retirer votre consentement au traitement des données sensibles à tout moment. Cela interrompt immédiatement l'utilisation de ces données et peut entraîner l'impossibilité de continuer à utiliser l'Application. Le retrait n'affecte pas la licéité des traitements effectués avant celui-ci.

7.8. Droit de réclamation

Si vous estimez que le traitement de vos données viole le RGPD, vous pouvez introduire une réclamation : - En France : Commission Nationale de l'Informatique et des Libertés (CNIL) — https://www.cnil.fr/fr/plaintes - Dans d'autres pays de l'UE : autorité nationale de protection des données de votre pays de résidence (liste officielle : https://edpb.europa.eu/about-edpb/about-edpb/members_en)

8. Comment exercer vos droits

La majorité des droits peuvent être exercés directement dans l'Application (Paramètres). Pour toute question ou demande nécessitant notre intervention, écrivez à :

admin@atymus.com

Nous répondrons dans un délai de 30 jours, prolongeable à 60 jours en cas de demande complexe, avec notification préalable. Nous nous réservons le droit de demander une preuve d'identité en cas de doute raisonnable.

9. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement en transit : toutes les communications entre l'Application et nos serveurs s'effectuent via HTTPS/TLS 1.2+
• Chiffrement au repos : les données stockées sur Firebase Firestore sont automatiquement chiffrées en AES-256 par les clés gérées par Google Cloud
• Contrôle d'accès : les règles de sécurité restrictives de Firestore garantissent que chaque utilisateur ne peut accéder qu'à ses propres données ; aucune donnée n'est partagée entre comptes, sauf avec le coach que vous avez accepté, et seulement ce que vous avez autorisé (section 3.7)
• Authentification forte : déléguée à Firebase Authentication, avec support futur de l'authentification à deux facteurs
• Audit : les journaux d'accès et d'actions sont conservés pour la détection d'incidents
• Sauvegardes : sauvegardes automatisées Firestore avec rétention de 30 jours, stockées en région UE
• Identifiants des services connectés : le jeton d'accès à votre compte Polar est conservé chiffré, avec une clé dédiée, dans un espace que l'Application ne lit pas, et n'apparaît jamais dans les exports
• Mise à jour continue : correction rapide des vulnérabilités de sécurité via Dependabot et GitHub Security

En cas de violation de données présentant un risque pour vos droits, nous vous notifierons par e-mail dans un délai de 72 heures après en avoir eu connaissance, et notifierons la CNIL conformément à l'article 33 du RGPD.

10. Cookies et traceurs

L'Application n'utilise pas de cookies (il ne s'agit pas d'une application web). Nous utilisons exclusivement :

• Identifiants anonymes Firebase (instance ID) pour le fonctionnement technique
• Crashlytics et Firebase Analytics avec des identifiants non liés à votre identité personnelle en dehors de l'Application

Vous pouvez désactiver Crashlytics et Analytics dans Paramètres > Confidentialité > Télémétrie.

Atymus ne diffuse aucune publicité, ne partage pas de données avec des régies publicitaires, et n'effectue aucun profilage publicitaire.

11. Mineurs

Atymus est destiné aux utilisateurs âgés de 15 ans ou plus, conformément au seuil fixé par la législation française pour le consentement autonome au traitement des données personnelles. Nous ne collectons pas intentionnellement les données de mineurs de moins de 15 ans.

Si vous êtes représentant légal et découvrez qu'un mineur de moins de 15 ans a créé un compte sans votre consentement, écrivez à admin@atymus.com pour demander la clôture immédiate et la suppression des données.

12. Intelligence Artificielle — informations spécifiques

Atymus intègre un assistant conversationnel reposant sur des modèles de langage à grande échelle (Google Gemini). Compte tenu du caractère sensible de cette technologie :

• Vos messages envoyés au chat sont transmis à Google (sous-traitant) afin de générer des réponses. Google s'engage contractuellement à ne pas utiliser vos messages pour entraîner des modèles publics (voir Google Cloud DPA).
• Les réponses de l'IA peuvent contenir des imprécisions. Aucune réponse ne doit être interprétée comme un conseil médical, nutritionnel ou sportif professionnel.
• L'IA NE pose AUCUN diagnostic. Les instructions système d'Atymus indiquent explicitement au modèle de refuser tout diagnostic et de recommander un professionnel de santé pour toute question clinique.
• Les données sensibles incluses dans le chat (ex : « j'ai mal au genou ») sont traitées comme tout autre message et sont soumises aux mêmes règles de conservation et de droits. Nous vous recommandons de ne pas inclure d'informations ultra-sensibles (numéros de documents, données bancaires) dans le chat.
• Les journaux d'utilisation de l'IA (jetons, coût, agent activé) sont conservés pour la facturation de la formule et l'audit interne ; le contenu de la conversation est lié à votre profil pour la personnalisation.

Vous pouvez demander la suppression de vos données de chat à tout moment via le droit à l'effacement (section 7.3).

13. Modifications de cette Politique

La présente Politique peut être mise à jour pour refléter des évolutions légales, techniques ou fonctionnelles. En cas de modification substantielle (introduction d'un nouveau sous-traitant, changement de finalités, modification de durée de conservation), vous serez notifié :

1. Par e-mail à l'adresse associée à votre compte
2. Par message dans l'Application à la prochaine ouverture
3. Si la modification affecte la base légale « consentement », nous solliciterons un nouveau consentement explicite avant de continuer

La version actuelle de la Politique est toujours disponible dans Paramètres > À propos > Politique de Confidentialité et à l'adresse publique https://atymus.com/privacy-fr.html.

14. Contact

Pour toute question relative à la protection de vos données personnelles :

📧 admin@atymus.com

📍 Felipe Oliveira · Aix-en-Provence, France

La présente Politique de Confidentialité a été rédigée pour un usage dans les juridictions de l'Union européenne, avec un focus sur la conformité RGPD et les recommandations de la CNIL. L'extension formelle à d'autres marchés (Brésil, États-Unis, etc.) fera l'objet d'une mise à jour spécifique dans une version future.