Politique de protection des données personnelles

1. Qui sommes-nous ?

La plateforme RunMorph (accessible depuis le site runmorph.com) est éditée et exploitée par la société Homeseek SARL, immatriculée en France, dont le siège social est situé au 117 Rue Jean-Baptiste Lebas, 59493 Villeneuve-d'Ascq, France.

En tant que responsable du traitement, Homeseek SARL détermine les finalités et les moyens du traitement de vos informations à caractère personnel lorsque vous utilisez RunMorph.

Pour toute question relative à la protection de vos données, vous pouvez nous écrire à l'adresse : admin@runmorph.com.

2. Quelles informations recueillons-nous ?

2.1 Informations que vous nous transmettez directement

• Création de compte : adresse e-mail, mot de passe (chiffré), nom et prénom.
• Connexion via un tiers : si vous choisissez de vous inscrire ou de vous connecter via Google, nous recevons votre nom, votre adresse e-mail et votre photo de profil tels que communiqués par le fournisseur d'identité. Nous ne recevons jamais votre mot de passe Google.
• Profil sportif : genre, date de naissance, ancienneté en course à pied, nombre de séances hebdomadaires, volume kilométrique, historique de blessures, douleurs régulières, préférences d'entraînement, records personnels.
• Objectifs de course : distance visée, chrono cible, date de compétition, jours d'entraînement disponibles.

2.2 Informations provenant de services connectés

Si vous reliez votre compte Strava ou Suunto à RunMorph, nous importons certaines données liées à vos activités de course à pied (course, trail, course virtuelle), y compris votre historique de sorties :

• Nom de l'activité (lorsque le service en fournit un), date, distance, durée, dénivelé positif.
• Vitesses moyenne et maximale.
• Fréquence cardiaque moyenne et maximale (lorsque disponible).
• Cadence et puissance (lorsque disponible).
• Tracé GPS de l'itinéraire et mesures détaillées enregistrées pendant la sortie (fréquence cardiaque, vitesse, altitude), lorsque disponibles.

Si vous connectez Garmin Connect, les données que nous recevons de Garmin et l'usage que nous en faisons sont détaillés à la section 3.

RunMorph stocke uniquement les activités de type course à pied. Vos activités cyclistes, de natation ou toute autre discipline ne sont ni importées ni conservées.

2.3 Informations collectées automatiquement

• Données de navigation : sur les pages publiques du site (par exemple l'accueil, les articles, les tests, les outils et les programmes), nous utilisons Google Analytics pour mesurer la fréquentation (pages visitées, durée de session, origine géographique approximative, type d'appareil), ainsi que le pixel Meta et la balise Google Ads pour mesurer l'efficacité de nos publicités. Les statistiques de Google Analytics sont agrégées et ne permettent pas de vous identifier personnellement. Si vous êtes connecté à votre compte, le pixel Meta reçoit aussi votre adresse e-mail sous forme hachée (empreinte irréversible). Ces outils ne sont jamais chargés dans votre espace connecté (tableau de bord, sorties, plans, profil, compte, connexions) : ils ne reçoivent aucune donnée de vos sorties, et en particulier aucune donnée Garmin.
• Mesure d'audience interne : sur l'ensemble du site, votre espace connecté compris, nous mesurons la fréquentation avec Umami, un outil de mesure d'audience hébergé sur nos serveurs, en France, qui ne dépose aucun cookie. Il enregistre les pages vues (adresse et titre), la page d'où vous venez, certains clics (par exemple sur un bouton d'inscription), le navigateur, le système d'exploitation, le type d'appareil, la taille de l'écran, la langue et une localisation approximative (pays, région, ville). Votre adresse IP n'est pas conservée : elle sert à cette localisation et, avec les caractéristiques de votre navigateur, au calcul d'une empreinte qui regroupe vos visites et change chaque mois. Les adresses des pages de votre espace connecté lui parviennent sans leurs paramètres et sans l'identifiant de vos sorties.
• Suivi interne des pages vues : dans le même but, chaque page que vous ouvrez sur le site, votre espace connecté compris, est aussi enregistrée dans notre base de données, avec son chemin (sans paramètres), la page d'où vous venez, les informations d'identification de votre navigateur (navigateur, système, appareil), une empreinte de votre adresse IP calculée avec une clé secrète (l'adresse elle-même n'est pas enregistrée), la date et l'heure et, si vous êtes connecté, l'identifiant de votre compte. Pour le détail d'une sortie, l'identifiant de la sortie est retiré du chemin comme de la page d'origine. Les pages vues rattachées à votre compte sont supprimées avec lui.
• Jetons d'authentification : un jeton de session est stocké dans le navigateur (localStorage) afin de maintenir votre connexion active entre vos visites.

3. Données issues de Garmin Connect

RunMorph vous permet de relier directement votre compte Garmin Connect à votre compte RunMorph. Cette connexion est facultative : vous seul pouvez la lancer, depuis la page Connexions, après avoir accepté le traitement de ces données par intelligence artificielle (voir la section 4). Cette section décrit les données que nous recevons de Garmin, l'usage que nous en faisons et les tiers qui les traitent.

3.1 Comment ces données nous parviennent

La connexion passe par la page d'autorisation de Garmin : c'est auprès de Garmin que vous vous identifiez et que vous autorisez le partage de vos données. RunMorph ne voit jamais votre mot de passe Garmin. Garmin nous transmet ensuite automatiquement vos nouvelles données, dont les sorties enregistrées, importées ou saisies dans Garmin Connect après la connexion : votre historique antérieur ne nous est pas transmis, sauf si vous le réimportez dans Garmin Connect.

3.2 Données reçues de Garmin

Avec votre autorisation, nous recevons de Garmin :

• Données de connexion : votre identifiant Garmin (un identifiant pseudonyme attribué par Garmin, qui ne contient ni votre nom ni votre adresse e-mail), les autorisations que vous avez accordées et les jetons d'accès qui permettent à RunMorph de recevoir vos données.
• Résumé de chaque sortie de course à pied : type d'activité, nom, date et heure, durée, distance, vitesse et allure, fréquence cardiaque moyenne et maximale, cadence, dénivelé, calories, modèle de la montre et position de départ.
• Fichier de la sortie (format FIT) : tracé GPS, mesures détaillées enregistrées pendant la sortie, jusqu'à une par seconde (fréquence cardiaque, vitesse, altitude, cadence, puissance), et tours.
• Mesures quotidiennes : fréquence cardiaque de repos, ainsi que la VO2max et l'âge physique estimés par Garmin.

Aucune autre donnée de santé (sommeil, stress, etc.) n'est collectée à ce jour, et les activités autres que la course à pied ne sont ni importées ni conservées. Toute nouvelle catégorie de données ferait l'objet d'une mise à jour préalable de la présente politique.

3.3 Utilisation de ces données

Vos données Garmin servent uniquement à :

• afficher vos sorties, à vous seul (et, pour l'assistance, à l'équipe RunMorph) ;
• afficher vos dernières mesures quotidiennes Garmin (fréquence cardiaque de repos, VO2max et âge physique estimés par Garmin) sur la page Connexions ;
• calculer vos records, vos zones cardiaques et d'allure, votre estimation de VO2max, votre charge et votre volume d'entraînement ;
• adapter votre plan d'entraînement ;
• vous envoyer par e-mail les débriefs de vos séances et votre bilan hebdomadaire ;
• être analysées par intelligence artificielle, avec votre consentement explicite (voir la section 4).

Elles ne sont jamais vendues ni louées, jamais utilisées à des fins publicitaires, et ne sont transmises qu'aux sous-traitants techniques listés ci-dessous.

3.4 Tiers qui reçoivent ou traitent vos données Garmin

OVH, Supabase et Google agissent en qualité de sous-traitants : ils traitent vos données pour notre compte et selon nos instructions. La fondation OpenStreetMap ne reçoit que les tuiles de carte demandées, et donc la zone géographique couverte par vos tracés, avec l'adresse IP de votre navigateur lorsque c'est lui qui les demande ; elle ne reçoit ni votre nom, ni votre adresse e-mail, ni vos autres données. Aucun autre tiers ne reçoit vos données Garmin : ni partenaire commercial, ni régie publicitaire, ni autre fournisseur. Elles ne sont pas non plus accessibles par le connecteur MCP de RunMorph, qui permet de relier votre propre assistant d'intelligence artificielle à votre compte.

Garmin est la source de ces données. Pour les données de votre compte Garmin Connect, Garmin agit en tant que responsable de traitement indépendant, selon sa propre politique de confidentialité : www.garmin.com/privacy/connect.

3.5 Conservation et suppression

Vos données Garmin sont conservées tant que la connexion Garmin est active. Si vous déconnectez Garmin, depuis la page Connexions de RunMorph ou depuis Garmin Connect, si vous retirez votre consentement ou si vous supprimez votre compte, nous supprimons vos activités et mesures issues de Garmin ainsi que vos jetons d'accès. Lorsque la déconnexion se fait depuis RunMorph, nous en informons Garmin, qui cesse alors de nous transmettre vos données. Les copies de sauvegarde techniques de notre base de données disparaissent ensuite au fil de leur rotation automatique.

Si nous ne pouvons pas joindre Garmin au moment de l'informer de la déconnexion (depuis RunMorph, par le retrait de votre consentement ou par la suppression de votre compte), nous conservons uniquement votre identifiant Garmin et les jetons d'accès nécessaires pour renouveler cette demande de désinscription, jusqu'à ce que Garmin l'ait confirmée et au plus 30 jours. Après chaque désinscription demandée par RunMorph, un repère qui ne porte que votre identifiant Garmin est aussi gardé au plus 48 heures, pour que cette désinscription n'efface pas une nouvelle connexion de votre compte Garmin. Les notifications que Garmin nous envoie encore après la déconnexion, sa confirmation de la désinscription comprise, sont effacées dès leur traitement, sans que rien n'en soit importé ; si ce traitement échoue (panne passagère de notre base de données, par exemple), elles sont gardées pour de nouveaux essais, au plus 31 jours après leur réception.

Si vous avez aussi relié Garmin Connect à Strava, les sorties qui nous parviennent par Strava relèvent de la connexion Strava : elles sont supprimées lorsque vous déconnectez Strava.

3.6 Envoi de vos séances vers Garmin Connect

Si vous le souhaitez, RunMorph peut placer les séances de votre plan d'entraînement dans votre calendrier Garmin Connect, pour les retrouver sur votre montre. Cet envoi est facultatif : il ne part qu'après votre accord exprès, donné une première fois sur RunMorph, puis séance par séance, lorsque vous cliquez sur « Envoyer vers Garmin Connect ».

Pour chaque séance envoyée, nous transmettons à Garmin :

• son titre, sa description et sa date ;
• ses étapes (échauffement, fractions, récupérations, retour au calme), avec leur durée ou leur distance ;
• la cible de chaque étape : une plage d'allure calculée d'après la VMA de votre plan, ou une plage de fréquence cardiaque calculée d'après vos repères (fréquence cardiaque maximale et de repos).

Nous ne transmettons à Garmin ni votre nom, ni votre adresse e-mail, ni vos sorties, ni aucune autre donnée de votre compte. De notre côté, nous conservons pour chaque séance envoyée les identifiants que Garmin lui attribue, sa date et l'état de l'envoi, afin de pouvoir la mettre à jour ou la retirer.

Vous pouvez retirer à tout moment une séance envoyée, depuis votre plan. Si vous retirez votre accord d'envoi, vous pouvez aussi demander le retrait des séances à venir déjà placées dans votre calendrier Garmin. Lorsque vous déconnectez Garmin depuis RunMorph ou supprimez votre compte, nous retirons de votre calendrier Garmin les séances à venir que nous y avons placées, tant que Garmin le permet encore, puis nous supprimons nos traces de ces envois. Une séance déjà synchronisée sur votre montre peut y rester : vous pouvez alors la supprimer depuis la montre ou depuis Garmin Connect. Une fois reçues par Garmin, vos séances relèvent de votre compte Garmin Connect et de la politique de confidentialité de Garmin.

3.7 Vos droits sur ces données

Vous pouvez exercer sur vos données Garmin l'ensemble des droits décrits à la section 9 : accès, rectification, effacement, opposition, limitation et portabilité, y compris l'export de vos données au format JSON ou CSV, ainsi que le retrait de votre consentement.

RunMorph est un service indépendant : il n'est ni approuvé, ni certifié, ni recommandé par Garmin. Garmin® et Garmin Connect™ sont des marques de Garmin Ltd. ou de ses filiales.

4. Déclaration de transparence sur l'intelligence artificielle

En bref : RunMorph utilise un modèle d'intelligence artificielle (Google Gemini, via Google Cloud Vertex AI) pour concevoir et adapter vos plans d'entraînement et rédiger l'analyse de votre bilan hebdomadaire. Vos données Garmin ne sont traitées par l'IA qu'avec votre consentement explicite, demandé avant la connexion de Garmin, et vous pouvez le retirer à tout moment depuis la page Connexions. Ni vos données Garmin ni rien de ce qui en est dérivé ne servent à entraîner un modèle d'IA.

4.1 Nature et finalité du traitement

RunMorph utilise un modèle d'intelligence artificielle générative, Google Gemini, auquel il accède par le service Vertex AI de Google Cloud. Ce modèle sert à concevoir et adapter vos plans d'entraînement, et à rédiger l'analyse personnalisée du bilan hebdomadaire que nous vous envoyons par e-mail.

Pour cela, il reçoit les informations de votre profil sportif (âge, genre, niveau, volume, records, blessures, objectifs), les noms de vos sorties et des résumés chiffrés de vos séances (date, type de séance, distance, durée, allure, fréquence cardiaque, dénivelé, temps passé dans chaque zone d'intensité), y compris vos sorties Garmin si vous avez connecté Garmin avec votre consentement. Aucune donnée d'identification directe (nom, e-mail) n'est incluse dans les requêtes envoyées au modèle.

Nos autres fonctions (affichage de vos sorties, calcul de vos records, zones, estimations et charge, débriefs envoyés après chaque séance) reposent sur des calculs effectués par RunMorph, sans intelligence artificielle générative.

Les plans et analyses produits par l'IA sont des suggestions générées automatiquement : ils ne remplacent en aucun cas l'avis d'un professionnel de santé ou d'un entraîneur diplômé.

4.2 Votre consentement pour les données Garmin

Vos données Garmin ne sont jamais traitées par l'IA sans votre accord. Avant toute connexion de Garmin, une case dédiée, non cochée par défaut, vous demande d'accepter ce traitement : tant qu'elle n'est pas cochée, la connexion ne peut pas être lancée. Votre consentement est horodaté. Comme aucune donnée Garmin ne nous parvient sans lui, il précède tout traitement de ces données par l'IA.

Vous pouvez le retirer à tout moment depuis la page Connexions, avec le bouton « Retirer mon consentement », puis une simple confirmation. Ce retrait déconnecte Garmin, en informe Garmin, qui cesse de nous transmettre vos données, et supprime les données importées de Garmin. Il ne remet pas en cause la licéité des traitements effectués auparavant : les plans déjà générés restent dans votre compte, où vous pouvez les supprimer.

Pour vos autres données (profil, objectifs, sorties importées de Strava ou de Suunto), le traitement par l'IA est nécessaire au service de génération de plans que vous demandez (exécution du contrat).

4.3 Nos engagements

• Vos données Garmin, et tout ce qui en est dérivé (requêtes envoyées au modèle, réponses, résumés, journaux), ne servent jamais à entraîner, tester, évaluer ou améliorer un modèle d'IA, ni à constituer une base de connaissances pour une IA.
• Google agit en tant que sous-traitant et s'engage contractuellement à ne pas utiliser ces données pour entraîner ses modèles.
• Le modèle est appelé dans la région « global » de Google Cloud : vos données peuvent donc être traitées hors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne.
• Vos données Garmin ne sont pas accessibles par le connecteur MCP de RunMorph, qui permet de relier votre propre assistant d'IA à votre compte.
• Nous mettons cette déclaration à jour lorsque nos usages de l'IA évoluent ou que la réglementation l'exige.

5. Pourquoi traitons-nous ces informations ?

6. Avec qui partageons-nous vos données ?

Nous ne vendons, ne louons et ne cédons jamais vos données personnelles à des tiers à des fins commerciales. Certaines informations sont toutefois transmises aux prestataires techniques nécessaires au fonctionnement du service :

Google Analytics, Google Ads et le pixel Meta ne sont jamais chargés dans votre espace connecté (tableau de bord, sorties, plans, profil, compte, connexions) : ils ne reçoivent aucune donnée de vos sorties, et en particulier aucune donnée Garmin.

Les services que vous choisissez de relier à RunMorph (Strava, Suunto et Garmin Connect) ne sont pas nos prestataires : ce sont les sources des données que vous nous autorisez à importer. Chacun traite les données de votre compte chez lui en tant que responsable de traitement indépendant, selon sa propre politique de confidentialité. Vous pouvez les déconnecter à tout moment depuis la page Connexions, ce qui supprime les données qui en proviennent.

Si vous reliez votre propre assistant d'intelligence artificielle à votre compte par le connecteur MCP de RunMorph, cet assistant accède, en lecture seule, à votre profil, à vos activités et à vos plans, à l'exception de vos données Garmin, et les traite selon les conditions de son éditeur.

Lorsque des données sont transférées vers des pays situés en dehors de l'Espace économique européen, nous nous assurons que des garanties appropriées sont en place (clauses contractuelles types de la Commission européenne, certifications ou décisions d'adéquation).

7. Combien de temps conservons-nous vos données ?

• Données de compte et profil sportif : conservées tant que votre compte est actif. En cas de suppression de compte, vos données sont effacées sous 30 jours.
• Activités Strava et Suunto : conservées tant que la connexion au service concerné est active. La déconnexion de Strava ou de Suunto entraîne la suppression des activités importées depuis ce service.
• Données Garmin : conservées tant que la connexion Garmin est active. La déconnexion (depuis RunMorph ou depuis Garmin Connect), le retrait de votre consentement ou la suppression de votre compte entraînent la suppression de vos activités et mesures Garmin ainsi que de vos jetons d'accès. Si nous ne pouvons pas joindre Garmin pour lui demander la désinscription, votre identifiant Garmin et les jetons nécessaires pour renouveler cette demande sont conservés jusqu'à ce que Garmin l'ait confirmée, et au plus 30 jours ; un repère qui ne porte que votre identifiant Garmin est gardé au plus 48 heures après chaque désinscription demandée par RunMorph, et les notifications que Garmin nous envoie encore après la déconnexion sont effacées dès leur traitement ou, si ce traitement échoue, au plus 31 jours après leur réception (voir la section 3).
• Sauvegardes techniques : les données supprimées disparaissent également des copies de sauvegarde de notre base au fil de leur rotation automatique.
• Données de paiement : gérées et conservées par Lemon Squeezy conformément à leurs obligations légales. RunMorph ne stocke aucun numéro de carte bancaire.
• Données analytiques : conservées selon la configuration de Google Analytics (26 mois maximum).

8. Comment protégeons-nous vos informations ?

Nous mettons en place des mesures techniques et organisationnelles destinées à assurer la sécurité de vos données :

• Chiffrement des échanges via le protocole HTTPS/TLS sur l'ensemble du site, ainsi qu'avec les services connectés et nos prestataires.
• Mots de passe stockés sous forme de hachage cryptographique irréversible (bcrypt).
• Jetons d'accès aux services connectés (Strava, Suunto, Garmin) renouvelés automatiquement à expiration ; les jetons Garmin sont conservés uniquement côté serveur et ne sont jamais exposés au navigateur.
• Accès aux bases de données restreint par clés de service à portée limitée.
• Hébergement au sein de l'Union européenne (OVH France, Supabase Irlande).

Aucun système n'étant infaillible, nous vous encourageons à utiliser un mot de passe robuste et unique pour votre compte RunMorph.

9. Vos droits

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Accès : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie. Vous pouvez aussi consulter à tout moment votre profil, vos sorties et vos plans depuis votre espace.
• Rectification : corriger des informations inexactes ou incomplètes depuis votre page de profil ou en nous contactant.
• Effacement : demander la suppression de votre compte et des données associées. Vous pouvez aussi supprimer vous-même votre compte depuis la page Mon compte, ou les données d'un service connecté en le déconnectant depuis la page Connexions.
• Limitation : restreindre temporairement le traitement de vos données dans certaines circonstances.
• Portabilité : recevoir vos données dans un format structuré et lisible par machine. Sur simple demande à admin@runmorph.com, nous vous adressons sous un mois un export de vos données, y compris vos données Garmin, au format JSON ou CSV.
• Opposition : vous opposer au traitement fondé sur notre intérêt légitime.
• Retrait du consentement : retirer à tout moment votre consentement pour les traitements qui en dépendent (par exemple, la connexion Strava, Suunto ou Garmin, ou le traitement de vos données Garmin par intelligence artificielle, que vous retirez à tout moment depuis la page Connexions), sans que cela ne remette en cause la licéité du traitement antérieur.

Pour exercer l'un de ces droits, écrivez-nous à admin@runmorph.com. Nous nous engageons à y répondre dans un délai d'un mois. Vous disposez également du droit d'introduire une réclamation auprès d'une autorité de contrôle compétente (en France : la CNIL, www.cnil.fr).

10. Cookies et technologies similaires

RunMorph utilise les technologies suivantes :

Les cookies strava_oauth, suunto_oauth et garmin_oauth sont strictement nécessaires : ils ne sont déposés que lorsque vous lancez la connexion à l'un de ces services et ne servent à rien d'autre.

Google Analytics, Google Ads et le pixel Meta ne sont chargés que sur les pages publiques du site, jamais dans votre espace connecté (tableau de bord, sorties, plans, profil, compte, connexions).

Vous pouvez configurer votre navigateur pour refuser les cookies ou supprimer ceux déjà déposés. Le refus des cookies de mesure d'audience et de publicité n'affecte pas le fonctionnement du service ; le refus des cookies strictement nécessaires empêche en revanche de relier Strava, Suunto ou Garmin.

11. Utilisateurs mineurs

RunMorph est ouvert aux utilisateurs de tout âge. Si vous êtes âgé de moins de 16 ans, nous vous demandons d'obtenir le consentement de votre parent ou tuteur légal avant de créer un compte et de nous communiquer des données personnelles. Nous nous réservons le droit de supprimer tout compte créé par un mineur sans le consentement parental requis, dès lors que nous en avons connaissance.

12. Modifications de la présente politique

Nous pouvons être amenés à faire évoluer cette politique afin de refléter des changements dans nos pratiques ou dans la réglementation applicable. En cas de modification substantielle, nous vous en informerons par e-mail ou par le biais d'une notification dans l'application. La date de dernière mise à jour figurant en haut de cette page vous permet de vérifier la version en vigueur.

13. Nous contacter

Pour toute question, demande d'exercice de vos droits ou réclamation concernant le traitement de vos données personnelles :

Homeseek SARL
117 Rue Jean-Baptiste Lebas
59493 Villeneuve-d'Ascq, France
admin@runmorph.com