Politique de confidentialité

Dernière mise à jour : 27 octobre 2026

1. Responsable du traitement

2. Données collectées

Données du praticien (compte utilisateur) :

• Identité : prénom, nom
• Coordonnées professionnelles : email, téléphone, adresse du cabinet
• Identifiant professionnel : numéro ADELI / AM
• Données de connexion : email, mot de passe (haché, jamais stocké en clair)

Données des patients (saisies par le praticien) :

• Identité : civilité, nom, prénom, date de naissance
• Données de pratique : sport ou activité physique
• Données cliniques : résultats de bilans, mesures, scores fonctionnels, programmes d'exercices prescrits

Données Strava (uniquement si l'athlète relie lui-même son compte Strava) :

• Activités Strava de l'athlète, y compris celles réglées sur « Moi uniquement », à partir des 90 jours précédant la connexion : date, sport, nom, durée, distance, dénivelé, allure ou vitesse, fréquence cardiaque, puissance, cadence, temps par kilomètre et par tour
• Tracé GPS des sorties (les zones de confidentialité réglées dans Strava ne s'y appliquent pas)
• Données seconde par seconde des sorties (fréquence cardiaque, vitesse, puissance, altitude), lues pour calculer des indicateurs propres à l'athlète (vitesse critique, dérive cardiaque, écart entre intervalles prescrits et réalisés) : seuls les résultats sont conservés
• Pour mesurer sa tolérance à la chaleur, à l'humidité et au vent, à la demande de son praticien : pour chaque course ou sortie vélo en extérieur, notre serveur transmet le lieu de départ arrondi à environ 10 km au service public de géocodage de l'IGN (Géoplateforme), pour connaître le département, puis le département, la station la plus proche et la date à Météo-France (API Données climatologiques), sans nom ni identifiant de l'athlète. Seules la température, l'humidité et le vent mesurés pendant la sortie sont conservés, avec elle : jamais de coordonnées ni de nom de station. Ils sont supprimés avec la sortie

Ces données ne sont lues qu'après le consentement explicite de l'athlète, recueilli et daté sur la page de connexion, qui détaille tout ce que son kinésithérapeute verra. Elles ne sont montrées qu'à l'athlète lui-même et aux praticiens auxquels il a donné son accord — chacun par une invitation et un accord distincts. Si l'athlète coche une case facultative, les confrères à qui son praticien partage le dossier voient aussi ses durées, distances, allures, fréquence cardiaque et charge, jamais le tracé, le lieu ni le titre de ses sorties. Le praticien peut joindre la charge d'entraînement qui en découle (volumes, durées et charge par semaine, sans tracé ni détail d'activité) à un courrier destiné au médecin de l'athlète. Elles ne sont ni vendues, ni montrées à d'autres patients, ni utilisées pour entraîner des modèles d'intelligence artificielle. L'athlète peut retirer l'accès à tout moment : à un seul praticien, par « Délier Strava » dans son espace ou en le lui demandant (ses données Strava sont alors supprimées de ce suivi) ; à tous à la fois, dans Strava (Réglages → Mes applications → Rehab4Perf → Révoquer l'accès) : ses données Strava sont alors supprimées définitivement de Rehab4Perf. Rehab4Perf n'est ni développé ni approuvé par Strava.

Données Garmin (uniquement si l'athlète relie lui-même son compte Garmin Connect) :

• Activités enregistrées par sa montre : date, sport, durée, distance, allure ou vitesse, fréquence cardiaque, puissance, cadence, tours
• Indicateurs quotidiens de récupération : durée du sommeil, fréquence cardiaque au repos, variabilité de la fréquence cardiaque
• Séances prescrites par le praticien, envoyées vers la montre de l'athlète pour qu'il les réalise

Ces données ne sont lues qu'après le consentement explicite de l'athlète, recueilli et daté sur la page de connexion. Elles servent uniquement à suivre et adapter sa charge d'entraînement pendant sa rééducation, et ne sont montrées qu'à l'athlète et aux praticiens auxquels il a donné son accord. Elles sont stockées et traitées par notre hébergeur de base de données (Supabase, Francfort, Allemagne) ; aucun autre tiers ne les reçoit, et aucun système d'intelligence artificielle ne les traite. Elles ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'intelligence artificielle. L'athlète peut retirer l'accès à tout moment : « Délier Garmin » dans son espace Rehab4Perf, ou dans Garmin Connect (applications connectées) ; ses données Garmin sont alors supprimées de Rehab4Perf. Il peut demander l'accès, la rectification, l'export ou la suppression de ses données à contact@rehab4perf.com. Garmin et Garmin Connect sont des marques de Garmin Ltd. ; Rehab4Perf n'est ni développé ni approuvé par Garmin.

Données Polar (uniquement si l'athlète relie lui-même son compte Polar Flow) :

• Séances enregistrées par sa montre à partir de la connexion : date, sport, durée, distance, vitesse moyenne, fréquence cardiaque moyenne et maximale, calories, charge d'entraînement calculée par Polar, modèle de la montre
• Nuits : durée et score du sommeil, variabilité de la fréquence cardiaque pendant la nuit

Aucun tracé GPS ni aucun lieu n'est conservé. Ces données ne sont lues qu'après le consentement explicite de l'athlète, recueilli et daté sur la page de connexion, et ne sont montrées qu'à l'athlète et aux praticiens auxquels il a donné son accord. Elles sont stockées par notre hébergeur de base de données (Supabase, Francfort, Allemagne) ; aucun autre tiers ne les reçoit, et aucun système d'intelligence artificielle ne les traite. L'athlète peut retirer l'accès à tout moment : « Délier Polar » dans son espace Rehab4Perf, ou dans Polar Flow (services partenaires) ; ses données Polar sont alors supprimées de Rehab4Perf. Polar et Polar Flow sont des marques de Polar Electro Oy ; Rehab4Perf n'est ni développé ni approuvé par Polar.

Plan de course (préparé par le praticien) : le profil d'altitude du parcours, tiré du fichier .gpx de la course, la direction du parcours tous les 50 m (pour estimer l'effet du vent, sans aucune position), et le lieu de départ de la course arrondi à environ 10 km. Aucune coordonnée précise n'est conservée. Le plan peut porter aussi un plan de nutrition : les cibles de glucides, de boisson et de sodium par heure, les prises placées au fil de la course, les ravitaillements de l'organisation, une note du praticien et, si un test de sudation a été fait, son seul résultat en litres par heure (les pesées ne sont pas conservées). Pour obtenir la prévision météo du jour de la course, notre serveur transmet ce lieu arrondi, l'altitude du départ et la période de la course à l'Institut météorologique norvégien (MET Norway), sans nom ni identifiant de l'athlète ; seule la prévision (température, vent, pluie, humidité) est conservée avec le plan. Une fois la course passée, le praticien peut remplacer cette prévision par la météo observée : notre serveur transmet alors au service public de géocodage de l'IGN des points arrondis à environ 10 km autour du départ (pour connaître le département), puis à Météo-France un département, une station et la date de la course, sans nom ni identifiant de l'athlète ; seules les mesures horaires des heures de course sont conservées avec le plan. Quand le parcours est saisi sans fichier, le praticien peut indiquer la ville de départ : seul ce nom de ville est envoyé, par notre serveur, au service public de géocodage de l'IGN (Géoplateforme), et le lieu trouvé est conservé arrondi à environ 10 km.

au sens de l'article 9 du RGPD. Leur traitement est fondé sur l'article 9.2.h (finalité de médecine préventive et de médecine du travail) et est réalisé sous la responsabilité du praticien.

3. Finalités et bases légales

• Fourniture du service — exécution du contrat (art. 6.1.b RGPD)
• Gestion du compte et de la facturation — exécution du contrat (art. 6.1.b)
• Amélioration du service — intérêt légitime (art. 6.1.f), données agrégées et anonymisées uniquement
• Obligations légales — respect de la réglementation (art. 6.1.c)

4. Sous-traitants et transferts

Rehab4Perf utilise les sous-traitants suivants :

• Supabase, Inc. — hébergement de la base de données et authentification. Données stockées en Europe (Francfort, Allemagne). Politique de confidentialité Supabase
• Netlify, Inc. — hébergement des fichiers statiques (San Francisco, USA). Couvert par les clauses contractuelles types de la Commission européenne. Politique de confidentialité Netlify

Services utilisés pour le fonctionnement de l'application, qui ne reçoivent aucune donnée de santé :

• Resend — envoi des e-mails automatiques de l'application (invitations, accords de partage).
• Stripe — paiement des abonnements des praticiens.
• Google Workspace — messagerie contact@rehab4perf.com.
• IGN — Géoplateforme (service public de géocodage) — situe la ville de départ d'un plan de course saisi sans fichier, et le département d'un lieu de départ arrondi à environ 10 km : reçoit un nom de ville ou ce lieu arrondi, jamais un nom ni un identifiant.
• Météo-France (API Données climatologiques) — mesures météo horaires d'une station, pour les sorties Strava (course et vélo) et la météo observée d'une course passée : reçoit un département, une station et une date, jamais un nom ni un identifiant.
• MET Norway (Institut météorologique norvégien) — prévision météo des plans de course : reçoit un lieu arrondi à environ 10 km et une date, jamais un nom ni un identifiant.

Sources de données, uniquement à la demande de l'athlète : Strava, Garmin et Polar (voir section 2).

Aucune donnée n'est vendue ou partagée avec des tiers à des fins publicitaires ou commerciales.

5. Durée de conservation

• Données du compte actif : conservées pendant toute la durée de l'abonnement.
• Après résiliation : conservées 12 mois, puis supprimées définitivement.
• Données de facturation : conservées 10 ans conformément aux obligations comptables.
• Données Strava : conservées tant que l'athlète laisse son compte relié ; supprimées dès qu'il retire l'accès, que son kinésithérapeute délie Strava, ou que sa fiche est effacée.
• Données Garmin : conservées tant que l'athlète laisse son compte relié ; supprimées dès qu'il retire l'accès (dans Rehab4Perf ou dans Garmin Connect), que son praticien délie Garmin, ou que sa fiche est effacée.
• Données Polar : conservées tant que l'athlète laisse son compte relié ; supprimées dès qu'il retire l'accès (dans Rehab4Perf ou dans Polar Flow), que son praticien délie Polar, ou que sa fiche est effacée.
• Plans de course : conservés jusqu'à leur suppression par le praticien ou l'effacement de la fiche du patient.

6. Sécurité

Les mesures suivantes sont mises en œuvre pour protéger vos données :

• Chiffrement des communications via HTTPS (TLS 1.3)
• Mots de passe hachés (bcrypt via Supabase Auth)
• Accès aux données isolé par praticien via Row Level Security (RLS) Supabase
• Authentification par token JWT avec expiration courte et rafraîchissement sécurisé

7. Cookies

Ce site n'utilise pas de cookies publicitaires ou de traçage. Seul un cookie de session technique (Supabase Auth) est déposé lors de la connexion à l'application. Ce cookie est strictement nécessaire au fonctionnement du service et ne peut pas être refusé.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie de vos données personnelles
• Droit de rectification — corriger des données inexactes
• Droit à l'effacement — demander la suppression de vos données
• Droit à la portabilité — recevoir vos données dans un format structuré
• Droit d'opposition — vous opposer à un traitement basé sur l'intérêt légitime
• Droit à la limitation — demander la suspension temporaire d'un traitement

Pour exercer ces droits, contactez-nous à : contact@rehab4perf.com. Nous répondrons dans un délai maximum de 30 jours.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr

9. Modifications

Cette politique peut être mise à jour pour refléter l'évolution du service ou de la réglementation. La date de dernière mise à jour est indiquée en haut de cette page. En cas de modification substantielle, vous serez informé par email.

Contact