Version en vigueur au 28 septembre 2026
Les données sont traitées par l'éditeur de Costaud (costaud.cybene.fr), SIRET 106 361 835 00015.
Pour toute question ou pour exercer vos droits : costaud@cybene.fr.
| Catégorie | Données |
|---|---|
| Compte | Adresse e-mail, mot de passe (jamais stocké en clair), pseudo, avatar, dates d'acceptation des CGU et de déclaration d'âge. Si vous vous connectez avec Google : l'identifiant de votre compte Google, ainsi que le nom et la photo de profil que Google nous transmet avec votre adresse e-mail (ils ne sont ni affichés dans l'app ni montrés à vos amis). |
| Entraînement | Séances, exercices, séries, charges, répétitions, durées, records, routines, cycles, objectifs, quêtes, XP, rangs, badges, notes et photos de séance, exercices personnalisés et leurs photos. |
| Données de santé (avec votre accord) | Poids et mensurations ; ressenti, intensité et énergie après une séance. |
| Profil sportif (facultatif) | Genre (uniquement pour les standards Big 3), classe de personnage, prix de votre abonnement en salle. |
| Fonctions sociales (Pro) | Amis et demandes d'ami, encouragements et leurs messages, routines et objectifs partagés, participation au challenge de la semaine, indication « séance en cours » si vous l'activez. |
| Abonnement | Identifiants client et abonnement Stripe, statut et dates de l'abonnement. Vos données de carte bancaire sont saisies et traitées uniquement par Stripe : Costaud n'y a jamais accès. |
| Accès API / MCP | Jetons d'accès que vous créez (stockés sous forme d'empreinte, jamais en clair), dates de dernière utilisation. |
| Notifications push (si vous les activez) | Adresse d'abonnement de l'appareil fournie par votre navigateur et ses clés de chiffrement, fuseau horaire, types de notifications souhaités et heure du rappel. |
| Technique | Adresse IP et journaux techniques des hébergeurs, vérification anti-robots à la connexion, stockage local sur votre appareil (voir section 9). |
| Pourquoi | Base légale (RGPD) |
|---|---|
| Fournir le service : compte, suivi des séances, statistiques, amis, accès API | Exécution du contrat (CGU) — art. 6.1.b |
| Mensurations et ressenti post-séance | Votre consentement explicite, retirable à tout moment — art. 9.2.a |
| Abonnement Pro, facturation | Exécution du contrat ; obligations comptables — art. 6.1.b et 6.1.c |
| E-mails liés au compte (confirmation, mot de passe, essai, fin d'abonnement) | Exécution du contrat — art. 6.1.b |
| Bilans hebdomadaires et mensuels par e-mail | Intérêt légitime à vous informer de votre propre progression ; désactivables à tout moment, depuis les Réglages ou le lien présent dans chaque bilan — art. 6.1.f |
| Relances par e-mail quand vous ne vous entraînez plus (après 14 jours sans séance, puis après 30 jours sans activité ; une de chaque au plus par période d'inactivité) | Intérêt légitime à vous accompagner dans votre entraînement ; désactivables à tout moment, depuis les Réglages ou le lien présent dans chaque relance — art. 6.1.f |
| Notifications push (demandes d'ami, encouragements, bilans, rappels de séance) | Votre consentement : autorisation donnée au navigateur et activation dans les Réglages, retirable à tout moment au même endroit — art. 6.1.a |
| Sécurité : anti-robots, prévention des abus, journal des accès de l'administration | Intérêt légitime — art. 6.1.f |
Les classements, l'XP et les rangs sont des mécaniques de jeu : aucune décision produisant des effets juridiques n'est prise de façon automatisée à votre sujet.
Vos amis (fonctions Pro) voient uniquement : votre pseudo, votre avatar, votre rang, votre niveau et votre XP, votre série de jours d'entraînement, votre participation au challenge et votre progression sur les objectifs que vous partagez avec eux. Vos badges, vos niveaux par muscle et votre séance en cours ne sont visibles que si vous les partagez (Réglages › Confidentialité) ; ces partages sont désactivés à la création d'un compte. Vos amis ne voient jamais votre e-mail, vos mensurations, votre ressenti ni vos photos.
L'éditeur accède aux données nécessaires au support et à la gestion du service. Chaque consultation de la fiche d'un compte est journalisée.
Nos sous-traitants, qui n'agissent que sur nos instructions :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase (Supabase Inc.) | Base de données, authentification, stockage des photos, fonctions serveur | UE (Irlande) |
| OVH Cloud | Hébergement de l'application et du serveur d'accès MCP | France |
| Stripe | Paiement et gestion des abonnements | UE (Irlande) |
| Brevo | Envoi des e-mails | France |
| Cloudflare | Vérification anti-robots (Turnstile) à la connexion et à l'inscription | Réseau mondial |
Les notifications push transitent par le service push de votre navigateur (Google pour Chrome et Android, Apple pour l'iPhone, Mozilla pour Firefox). Leur contenu est chiffré de bout en bout entre nos serveurs et votre appareil : ces services ne peuvent pas le lire.
Stripe agit aussi comme responsable de traitement pour ses propres obligations (lutte contre la fraude, obligations légales liées aux paiements).
Vos données peuvent enfin être communiquées aux autorités, sur réquisition légale.
Vos données sont stockées dans l'Union européenne. Supabase, Stripe et Cloudflare appartiennent à des groupes américains : un accès depuis les États-Unis reste possible (support, sous-traitants de ces prestataires). Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et/ou par les clauses contractuelles types de la Commission européenne.
| Données | Durée |
|---|---|
| Compte, entraînement, photos | Tant que le compte existe. Effacées à la suppression du compte ; les sauvegardes techniques de l'hébergeur sont écrasées au fil de leur rotation. |
| Mensurations et ressenti | Jusqu'au retrait de votre consentement (elles sont alors effacées) ou jusqu'à la suppression du compte. |
| Notifications | 7 jours, effacées à l'ouverture suivante de l'application ; en tout état de cause avec le compte. |
| Abonnement aux notifications push | Jusqu'à leur désactivation, la déconnexion de l'appareil ou la suppression du compte ; effacé aussi dès que le service push le déclare expiré. |
| Jetons d'accès API / MCP | Jusqu'à leur révocation ou la suppression du compte. |
| Journal des accès de l'administration | 1 an. |
| Factures et données de paiement | 10 ans (obligation comptable, art. L123-22 du Code de commerce), conservées par Stripe, y compris après la suppression du compte. |
| Compte inactif | Un compte sans activité pendant 3 ans pourra être supprimé, après un e-mail d'avertissement. |
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL.
Costaud est réservé aux personnes de 15 ans et plus, âge à partir duquel une personne peut consentir seule au traitement de ses données en France. L'âge est déclaré à l'inscription.
Costaud n'utilise aucun cookie publicitaire ni outil de mesure d'audience. L'application enregistre sur votre appareil (stockage local du navigateur) uniquement ce qui est strictement nécessaire à son fonctionnement : votre session de connexion, la séance en cours, les séances terminées hors ligne en attente d'envoi, une copie des données affichées pour un démarrage rapide, et vos préférences. Ce stockage ne nécessite pas de consentement.
La vérification anti-robots de Cloudflare, affichée à la connexion et à l'inscription, peut traiter des données techniques de votre navigateur à des fins de sécurité. Les polices de caractères sont hébergées par Costaud : aucune requête n'est faite à Google.
Si vous créez un jeton d'accès pour connecter un assistant ou un outil externe (par exemple via le protocole MCP), les données qu'il lit sont transmises à l'outil que vous avez choisi et traitées selon sa propre politique de confidentialité. Vous pouvez révoquer un jeton à tout moment (Réglages › Accès API / MCP).
Cette politique peut évoluer. En cas de modification importante, vous en serez informé dans l'application. La date de la version en vigueur figure en haut de cette page.