Politique de confidentialité

Kymma vous aide à estimer vos temps de course, planifier votre entraînement et préparer vos courses — sur route comme en trail (jusqu’à l’ultra). Pour cela, nous traitons certaines de vos données. Cette page explique lesquelles, pourquoi, avec qui, combien de temps, et quels sont vos droits. Nous n’affichons aucune publicité et n’utilisons aucun traceur publicitaire ou statistique tiers : vos données ne sont ni vendues, ni louées, ni exploitées à des fins marketing.

Le responsable du traitement est Soufiane El Marjani, éditeur individuel (personne physique).

Pour toute question sur vos données ou pour exercer vos droits, vous pouvez nous écrire à contact@kymma.fr.

Nous n’avons pas désigné de délégué à la protection des données (DPO) : cette désignation n’est pas obligatoire pour notre activité à ce stade.

Selon votre usage, nous traitons :

• Compte : votre adresse e-mail et un mot de passe (chiffré, jamais visible par nous), ou, si vous passez par Google, les informations de connexion transmises par Google (e-mail, nom, éventuellement photo de profil).
• Profil coureur : votre niveau, votre allure, votre volume d’entraînement, vos records, votre VMA, vos jours d’entraînement, et — parce que vous les fournissez pour personnaliser vos estimations et votre plan — des données plus sensibles : votre date de naissance (âge), votre poids, et une éventuelle reprise après blessure. Ces données ne sont utilisées que pour calculer des estimations et un plan adaptés à vous.
• Entraînement & courses : vos plans, vos retours de séance (ressenti d’effort), vos courses enregistrées et l’historique de vos courses terminées (distance, dénivelé, chrono).
• Strava (facultatif) : si — et seulement si — vous connectez votre compte Strava, nous recevons vos jetons d’accès et un résumé de vos activités de course (distance, dénivelé, durée, date). Aucune trace GPS détaillée n’est stockée. Vous pouvez vous déconnecter à tout moment : vos jetons et vos activités importées sont alors supprimés (les records que vous avez éventuellement confirmés dans votre profil, eux, sont conservés).
• Fichiers GPX : si vous importez un fichier GPX, nous traitons les coordonnées correspondantes pour calculer distance, dénivelé et sections.
• Données techniques : cookies strictement nécessaires à votre session (voir §7). Nous ne posons aucun cookie publicitaire ni de mesure d’audience tierce.

• Fournir le service (créer votre compte, calculer vos estimations, générer et adapter votre plan, préparer vos courses) — base légale : exécution du service que vous demandez en vous inscrivant et en renseignant votre profil.
• Personnaliser avec des données sensibles (poids, âge, reprise après blessure) — base légale : votre consentement, matérialisé par le fait que vous choisissez de les renseigner. Elles sont facultatives ; sans elles, certaines estimations sont simplement moins précises.
• Connexion Strava — base légale : votre consentement (vous l’activez volontairement, vous pouvez le retirer à tout moment).
• Sécurité & bon fonctionnement (maintenir votre session, prévenir les abus) — base légale : notre intérêt légitime à fournir un service sûr.

Fournir vos données de profil n’est pas une obligation légale, mais c’est nécessaire pour obtenir des estimations et un plan personnalisés : sans elles, le service ne peut pas remplir sa fonction.

Nous ne vendons ni ne louons jamais vos données. Pour faire fonctionner le service, nous les confions à deux prestataires d’infrastructure, qui les traitent pour notre compte et selon nos instructions :

• Supabase — base de données et authentification (où sont stockés votre compte, votre profil et vos plans).
• Vercel — hébergement de l’application (traite le trafic, dont des données techniques comme l’adresse IP).

Selon les fonctionnalités que vous utilisez, des données strictement techniques (des coordonnées, un nom de ville, ou l’adresse IP nécessaire à l’affichage) peuvent être transmises à des services de cartographie et de météo (Mapbox, Open-Meteo, OpenStreetMap), sans votre identité. Si vous les activez, la connexion Google et l’import Strava impliquent respectivement Google et Strava.

Nous pouvons aussi divulguer des données si la loi l’exige (réquisition d’une autorité compétente).

Certains de ces prestataires (notamment Google et Mapbox) sont susceptibles de traiter des données en dehors de l’Union européenne. Le cas échéant, ces transferts s’appuient sur des garanties appropriées prévues par le RGPD : clauses contractuelles types de la Commission européenne, ou cadre de protection des données UE–États-Unis (Data Privacy Framework). Pour toute précision sur la localisation d’hébergement de vos données, vous pouvez nous contacter.

Vos données sont conservées tant que votre compte existe. Vous pouvez supprimer votre compte à tout moment depuis votre profil : vos données sont alors effacées immédiatement (les copies de sauvegarde résiduelles sont purgées sous 30 jours). Les données Strava sont supprimées dès que vous déconnectez Strava. Un compte resté inactif pendant plus de 24 mois pourra être supprimé, après vous en avoir informé par e-mail.

Nous utilisons uniquement des cookies strictement nécessaires au fonctionnement de l’application (maintien de votre session) et un stockage local pour vos préférences d’affichage (thème, filtres). Ces éléments ne nécessitent pas votre consentement préalable car ils sont indispensables au service. Nous n’utilisons aucun cookie publicitaire ni de mesure d’audience tierce.

Vos estimations de temps et votre plan d’entraînement sont générés par des algorithmes, à partir des données que vous fournissez. Ce sont des aides à la décision indicatives : elles ne produisent aucun effet juridique et ne constituent en aucun cas un avis médical (voir aussi les conditions d’utilisation). Nous vous exposons toujours l’incertitude (fourchette, niveau de confiance, angles morts) plutôt qu’un chiffre présenté comme certain.

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• Accès : obtenir une copie des données que nous détenons sur vous.
• Rectification : corriger des données inexactes (vous pouvez le faire directement dans votre profil).
• Effacement : supprimer votre compte et vos données directement depuis votre profil, ou nous en faire la demande (« droit à l’oubli »).
• Limitation et opposition au traitement.
• Portabilité : recevoir vos données dans un format réutilisable.
• Retrait du consentement à tout moment (par exemple en déconnectant Strava ou en effaçant vos données sensibles), sans que cela remette en cause la licéité du traitement effectué avant le retrait.

Pour exercer ces droits, écrivez-nous à contact@kymma.fr. Vous avez aussi le droit d’introduire une réclamation auprès de la CNIL (Commission Nationale de l’Informatique et des Libertés — cnil.fr).

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données : chiffrement des mots de passe, accès restreint à la base, cloisonnement par compte. Aucun système n’étant infaillible, nous ne pouvons garantir une sécurité absolue, mais nous nous engageons à agir avec diligence.

Nous pouvons faire évoluer cette politique. En cas de changement important, nous vous en informerons. La date de dernière mise à jour figure en haut de cette page.