Politique de confidentialité

Le responsable du traitement des données collectées sur la plateforme Evolve-Up est :

• Hatem Boubekeur — micro-entrepreneur
• SIRET 832 644 025 00013
• Organisme de Services à la Personne — agrément SAP832644025
• 199 rue Édouard Branly, 93100 Montreuil — France
• Contact : contact@evolve-up.fr

Evolve-Up collecte les catégories de données suivantes :

• Données d'identification : nom, prénom, civilité, date de naissance, adresse postale, email, téléphone.
• Données de connexion : adresse IP, identifiants de session, journaux techniques.
• Données de réservation : créneaux, disciplines choisies, coach sélectionné, montant payé, date de prestation.
• Données bancaires : coordonnées du compte (mandat SEPA AICI) collectées et conservées exclusivement par l'URSSAF dans le cadre du dispositif d'Avance Immédiate du Crédit d'Impôt. Aucune donnée bancaire ni numéro de carte n'est stocké sur les serveurs d'Evolve-Up.
• Données fiscales : montants ouvrant droit au crédit d'impôt SAP, transmis à l'URSSAF dans le cadre de l'AICI.

Données de santé spécifiques (catégorie particulière au sens de l'article 9 RGPD), collectées uniquement si l'utilisateur les fournit volontairement :

• Pathologies déclarées, antécédents médicaux, contre-indications.
• Existence d'une ordonnance d'Activité Physique Adaptée (APA).
• Objectifs de santé renseignés (rééducation, post-opératoire, post-partum, etc.).

Les données sont destinées à :

• Les Coachs : uniquement les informations strictement nécessaires à la réalisation de la prestation (nom, adresse, créneau, et, sur autorisation expresse du Client, les éventuelles informations santé pertinentes).
• L'URSSAF (via l'API Tiers de Prestation) : informations strictement nécessaires à l'application du crédit d'impôt SAP (identité, SIRET, montant, date, type de prestation).
• La DGFiP : par transmission via l'URSSAF dans le cadre du dispositif AICI.
• Supabase Inc. (sous-traitant) : hébergement de la base de données dans l'Union européenne.
• Vercel Inc. (sous-traitant) : hébergement de l'application web.
• Les autorités administratives ou judiciaires sur réquisition légale uniquement.

Aucune donnée n'est cédée à des partenaires commerciaux à des fins de prospection sans le consentement explicite de l'utilisateur.

Les données utilisateurs sont prioritairement traitées et stockées dans l'Union européenne. Les données bancaires nécessaires au dispositif AICI sont collectées et conservées par l'URSSAF (établissement public français, hébergement souverain). Lorsque des sous-traitants techniques situés hors UE sont impliqués (Vercel pour la diffusion applicative), les transferts sont encadrés par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (décision 2021/914), garantissant un niveau de protection équivalent.

Les données relatives à la santé bénéficient d'une protection renforcée. Elles ne sont collectées que sur la base du consentement explicite de l'utilisateur, qui peut le retirer à tout moment.

Ces données sont :

• Stockées chiffrées au repos (AES-256) et en transit (TLS 1.3) ;
• Accessibles uniquement aux Coachs sélectionnés par le Client pour une réservation active, et uniquement si le Client a expressément autorisé ce partage dans ses paramètres ;
• Non utilisées à des fins de profilage commercial ;
• Conservées le temps nécessaire à l'exécution du suivi sportif puis supprimées sur demande, ou automatiquement à la clôture du compte.

Conformément au RGPD et à la loi Informatique et Libertés modifiée, vous disposez des droits suivants :

• Droit d'accès à vos données ;
• Droit de rectification ;
• Droit à l'effacement (« droit à l'oubli ») ;
• Droit à la limitation du traitement ;
• Droit à la portabilité de vos données ;
• Droit d'opposition au traitement ;
• Droit de retirer votre consentement à tout moment, sans préjudice de la licéité du traitement antérieur ;
• Droit de définir des directives sur le sort de vos données après votre décès ;
• Droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

Pour exercer ces droits, écrivez à contact@evolve-up.fr en joignant un justificatif d'identité. Une réponse vous est apportée sous 1 mois maximum.

Evolve-Up met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données :

• Chiffrement en transit (HTTPS / TLS 1.3) sur l'intégralité du site et des API ;
• Chiffrement au repos (AES-256) de la base de données ;
• Authentification renforcée (mots de passe hashés en argon2/bcrypt, signature électronique du mandat SEPA AICI conforme aux standards URSSAF) ;
• Cloisonnement strict des données par utilisateur via les Row Level Security policies Supabase ;
• Sauvegardes chiffrées quotidiennes hébergées en UE ;
• Audits de sécurité réguliers ;
• Procédure documentée de notification en cas de violation, sous 72 h à la CNIL conformément à l'article 33 RGPD.

Evolve-Up utilise uniquement les catégories de cookies suivantes :

• Cookies techniques strictement nécessaires (session, authentification, panier) : exemptés de consentement (art. 82 LIL) ;
• Cookies de mesure d'audience anonymisés : déposés uniquement si configurés en respectant les recommandations CNIL d'exemption (pas de transfert hors UE, durée limitée, anonymisation IP) ;
• Aucun cookie publicitaire tiers ne sera déposé sans consentement explicite via un bandeau dédié.

Cette politique peut être modifiée pour refléter les évolutions techniques, légales et fonctionnelles d'Evolve-Up. Les modifications substantielles font l'objet d'une notification email aux utilisateurs avec préavis raisonnable.