Politique de Confidentialité et Déclaration RGPD

MIT-OX Nutrition System S.A. (« MIT-OX », « nous ») est le responsable du traitement des données personnelles décrites dans la présente politique. Autrement dit : nous décidons pourquoi et comment vos données sont traitées, et nous en répondons devant vous.

• Responsable du traitement : MIT-OX Nutrition System S.A.
• Siège social : —
• Numéro d'identification de l'entreprise : —
• Contact confidentialité : legal@mit-ox.com
• Délégué à la protection des données : vous pouvez contacter directement notre DPO à legal@mit-ox.com

Cette politique explique ce que nous faisons de vos données, pourquoi nous en avons le droit, et quels sont vos droits au titre du Règlement général sur la protection des données (RGPD).

Nous regroupons vos données selon ce qu'elles sont et pourquoi elles existent. Nous ne stockons que ce qu'une recommandation, une commande ou votre compte exigent réellement.

L'essentiel de ce qui rend MIT-OX utile — votre poids, votre fréquence cardiaque, votre charge d'entraînement, votre taux de sudation — relève des « données concernant la santé » au sens de l'article 9 du RGPD. Il s'agit d'une catégorie particulière de données, protégée de façon renforcée, que nous ne pouvons traiter que pour un nombre restreint de motifs.

Nous nous appuyons sur votre consentement explicite (article 9.2.a du RGPD). Nous vous le demandons clairement, avant de stocker des données de santé rattachées à votre compte, et nous enregistrons la version de cette politique que vous avez acceptée. Si vous ne consentez pas, vous pouvez toujours utiliser le générateur de protocoles sans compte : nous ne stockerons simplement rien vous concernant.

Vous pouvez retirer votre consentement à tout moment. Ce retrait ne rend pas illicite le traitement antérieur, mais il arrête le traitement de vos données de santé pour l'avenir — et comme les données de santé sont la base même d'une recommandation, le retirer met de fait fin au service personnalisé.

Le RGPD exige une base légale pour chaque finalité. Voici les nôtres, finalité par finalité.

Nous ne vendons pas vos données personnelles, nous ne les communiquons pas à des courtiers en données, et nous n'utilisons jamais vos données de santé ou d'entraînement à des fins publicitaires ni de profilage marketing.

Nous ne partageons des données qu'avec les prestataires nécessaires au fonctionnement du service. Chacun agit dans le cadre d'un contrat qui limite ce qu'il peut en faire. Nous n'autorisons aucun d'entre eux à utiliser vos données à ses propres fins.

Nous hébergeons le service sur nos propres serveurs à Barcelone (Espagne), et c'est là que vivent votre compte et vos données de santé. Aucun fournisseur de cloud tiers ne les détient, et elles ne quittent pas l'UE en dehors des cas listés ci-dessus.

Nous pouvons également communiquer des données si la loi l'exige (par exemple sur décision de justice valable), ou pour constater, exercer ou défendre des droits en justice.

Certains de nos prestataires sont établis aux États-Unis ou y transfèrent des données. Lorsque vos données quittent l'Espace économique européen, nous appliquons les garanties exigées par le RGPD : soit la certification du prestataire au titre du cadre de protection des données UE–États-Unis, soit les Clauses contractuelles types de la Commission européenne, assorties de mesures techniques supplémentaires telles que le chiffrement.

Vous pouvez nous demander une copie des garanties sur lesquelles nous nous appuyons en écrivant à legal@mit-ox.com.

À l'expiration d'une durée de conservation, nous supprimons les données ou les anonymisons de façon irréversible afin qu'elles ne puissent plus vous être rattachées.

Ces droits sont les vôtres, leur exercice est gratuit, et il ne vous coûtera jamais le service que vous avez payé. Nous répondons sous un mois ; si une demande est réellement complexe, nous pouvons prolonger ce délai de deux mois et nous vous en expliquerons la raison.

Pour exercer un droit, utilisez votre page de compte ou écrivez à legal@mit-ox.com. Nous pourrons devoir vérifier votre identité au préalable : nous ne demanderons que le strict nécessaire pour nous assurer qu'il s'agit bien de vous.

Lorsque vous supprimez votre compte, le droit espagnol de la protection des données (article 32 de la LOPDGDD) ne nous permet pas de tout effacer sur-le-champ. Il nous impose de verrouiller les données au préalable. Cela vous protège : si vous vous plaigniez un jour de la façon dont nous avons traité vos données, la preuve doit encore exister pour qu'une autorité ou un juge puisse l'examiner.

Verrouiller signifie exactement ce que le mot indique. Vos données sont mises sous scellés et hors d'usage : elles quittent le service immédiatement, personne chez MIT-OX ne peut les utiliser ni même les consulter, et elles ne peuvent être traitées à aucune autre fin — ni recommandations, ni analyse, ni marketing, rien.

Les seules personnes auxquelles elles peuvent être mises à disposition sont les juges, les tribunaux, le Ministère public et les autorités compétentes — en particulier l'AEPD — et uniquement pour établir si nous avons traité vos données licitement. Une fois expiré le délai pendant lequel notre responsabilité peut être engagée, nous les détruisons définitivement.

Les factures et documents comptables relèvent d'un autre régime : le droit fiscal et commercial nous oblige à les conserver six ans, ils ne sont donc pas supprimés avec votre compte. Ils sont conservés à cette seule fin.

Si vous estimez que nous avons mal géré vos données, dites-le nous d'abord : nous préférons corriger le tir. Mais vous avez toujours le droit d'introduire une réclamation auprès d'une autorité de contrôle, dans le pays où vous résidez, où vous travaillez, ou là où le problème est survenu.

• Notre autorité de contrôle chef de file est l'Agence espagnole de protection des données — Agencia Española de Protección de Datos (AEPD), www.aepd.es.

Votre protocole nutritionnel est généré automatiquement. Un moteur déterministe lit votre profil et votre séance planifiée — sa durée, son intensité et sa structure d'intervalles — et applique des règles fixes et documentées, rédigées par un physiologiste du sport, pour calculer les objectifs de glucides, de liquide et de sodium ainsi que le moment de prise des gels.

Chaque recommandation est présentée avec le raisonnement qui la sous-tend, les hypothèses qu'elle a dû retenir et la base scientifique sur laquelle elle repose. C'est une orientation que vous pouvez suivre ou ignorer ; elle ne produit aucun effet juridique et nous ne la considérons pas comme une décision vous affectant de manière significative au sens de l'article 22. Vous pouvez néanmoins toujours demander qu'une personne de MIT-OX réexamine une recommandation : il suffit de nous écrire.

MIT-OX fournit des conseils de nutrition sportive. Il ne s'agit pas d'un avis médical et cela ne remplace pas un médecin ou un diététicien-nutritionniste.

• Les données de santé et de profil sont chiffrées avant d'être écrites en base (AES-256-GCM) : elles ne sont pas lisibles dans un export brut de la base.
• Les jetons d'accès TrainingPeaks sont chiffrés au repos et effacés dès que vous déconnectez le compte ou le supprimez.
• Les mots de passe ne sont stockés que sous forme de hachage Argon2 salé : nous ne pouvons pas les lire, et celui qui volerait la base non plus.
• Tout le trafic passe en HTTPS, avec une sécurité de transport stricte et des en-têtes de réponse durcis.
• L'accès aux données de production est limité aux personnes qui en ont besoin, et les événements pertinents pour la sécurité sont consignés dans un journal d'audit.
• Les points d'accès sensibles sont soumis à une limitation de débit pour résister aux attaques par force brute et aux abus.

Aucun système n'est parfaitement sûr. Si une violation venait à mettre vos droits en danger, nous le notifierions à l'autorité de contrôle sous 72 heures comme l'exige le RGPD, et nous vous en informerions directement lorsque la loi l'impose également.

Nous utilisons un petit nombre de cookies strictement nécessaires pour vous maintenir connecté et protéger le service. Ils sont indispensables au fonctionnement de l'application et ne requièrent pas votre consentement.

Nous souhaitons aussi comprendre comment l'application est utilisée afin de l'améliorer, à l'aide de Google Analytics. Les cookies analytiques sont facultatifs : ils ne sont déposés qu'après votre acceptation, et vous pouvez changer d'avis à tout moment. Si vous les refusez, l'application fonctionne exactement de la même façon.

MIT-OX ne s'adresse pas aux enfants. Vous devez avoir plus de 16 ans pour créer un compte : nous ne proposons pas le service à des personnes plus jeunes, même avec l'accord d'un parent. Si nous apprenions avoir collecté des données de santé concernant une personne de moins de 16 ans, nous les supprimerions sans délai.

Si nous changeons l'usage que nous faisons de vos données, nous mettrons à jour cette politique, publierons une nouvelle version datée et — lorsque le changement est substantiel et touche au traitement des données de santé — nous vous redemanderons votre consentement plutôt que de le présumer. Nous n'élargirons pas en silence ce que nous faisons de données que vous nous avez déjà confiées.

Questions, demandes ou réclamations concernant la confidentialité : legal@mit-ox.com.