Politique de confidentialité

Dernière mise à jour : 2 mai 2026.

Cette politique explique, en application des articles 13 et 14 du Règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés, comment Coachi collecte et traite tes données personnelles.

1. Responsable de traitement et DPO

Le responsable de traitement est BEJOF SARL, société éditrice de Coachi, immatriculée au RCS de Tours sous le numéro 921 333 738, dont le siège social est situé 6 rue d'Entraigues, 37000 Tours, France.

Les missions de délégué à la protection des données (DPO) sont exercées, au sein de BEJOF SARL, par Jonathan Labéjof.

• Contact DPO : dpo@coachi.fr
• Contact société : contact@coachi.fr

2. Données collectées

Coachi collecte strictement les données nécessaires au fonctionnement du service :

• Identifiants de compte: adresse email, identifiant utilisateur interne, méthode d'authentification (mot de passe ou fournisseur OAuth Google).
• Contenu créé par l'utilisateur: objectifs, actions quotidiennes, traces (notes textuelles et photos), messages échangés avec l'assistant IA, profil d'attentes extrait du chat.
• Données d'usage : événements de navigation anonymisés (via Plausible, sans cookie ni identifiant personnel).
• Données de paiement: statut d'abonnement, plan, historique de facturation. Les numéros de carte bancaire ne sont jamais stockés par Coachi ; ils sont traités directement par Stripe.
• Données techniques: logs d'erreur applicative (Sentry) et journaux techniques de sécurité (adresse IP, user-agent) strictement nécessaires à la détection d'incidents.

3. Finalités et bases légales

4. Sous-traitants et destinataires

Tes données sont traitées par les sous-traitants suivants, liés par un contrat conforme à l'article 28 du RGPD :

DPA et accords Art. 28 RGPD : les contrats de sous-traitance signés avec nos prestataires sont conservés en interne et disponibles sur demande motivée auprès du DPO (dpo@coachi.fr).

Coachi utilise les API des fournisseurs d'IA dans les configurations qui n'autorisent pas l'entraînement des modèles sur tes conversations :

• Anthropic (Claude API) : par défaut, l'API ne réutilise pas les requêtes pour entraîner ses modèles.
• Google (Gemini API) : la facturation est activée sur le projet Google Cloud, ce qui désactive automatiquement l'usage des requêtes pour l'entraînement (politique applicable aux usages payants de l'API Gemini).
• OpenAI (GPT API) : si activé un jour comme fournisseur de secours, le paramétrage Zero Data Retention(ZDR) est demandé à OpenAI pour l'organisation Coachi. Tant que ce paramétrage n'est pas confirmé par OpenAI, OpenAI n'est pas utilisé en production.
• Cohere (embeddings) : l'option Data Controls — opt-out trainingest activée dans le dashboard de l'organisation Coachi. Les contenus transmis pour le calcul d'embeddings ne sont pas utilisés pour entraîner les modèles Cohere. Les embeddings vectoriels (1024 dimensions) sont stockés dans la base Supabase et supprimés par cascade lorsque tu supprimes ton compte.

La configuration de routageen vigueur (provider d'IA primaire et fournisseur de secours, par tier de modèle) est susceptible d'évoluer en fonction des critères de qualité, de coût et de disponibilité. Tu peux à tout moment en demander l'état courant auprès du DPO à dpo@coachi.fr. Tout changement substantiel de fournisseur principal donne lieu à une mise à jour de la présente politique.

Les emails d'authentification (confirmation de compte, réinitialisation de mot de passe) sont envoyés via l'infrastructure email native de Supabase et ne transitent donc pas par Resend.

5. Transferts hors Union européenne

Plusieurs sous-traitants de Coachi sont établis aux États-Unis, ou y disposent d'une société mère soumise au droit américain. Ces transferts sont encadrés par :

• L'EU-US Data Privacy Framework(décision d'adéquation d'exécution (UE) 2023/1795 du 10 juillet 2023) lorsque le prestataire y est certifié. La liste officielle à jour est consultable sur dataprivacyframework.gov.
• Les Clauses contractuelles types(CCT) de la Commission européenne, signées avec chaque sous-traitant US, qu'il soit ou non certifié DPF.
• Une analyse d'impact des transferts (TIA) est tenue à disposition sur demande motivée auprès du DPO (dpo@coachi.fr).

5.1 Loi américaine et risque résiduel

En toute transparence : aucun encadrement juridique européen ne supprime totalement le risque que les autorités américaines accèdent à des données traitées par une entreprise soumise au droit américain. Deux textes sont en cause :

• CLOUD Act(Clarifying Lawful Overseas Use of Data Act, 2018) : permet à une autorité judiciaire américaine d'obliger une entreprise soumise à sa juridiction à fournir des données, y compris lorsqu'elles sont stockées en Europe.
• FISA Section 702(Foreign Intelligence Surveillance Act) : autorise la surveillance électronique de personnes non-américaines par les agences de renseignement américaines, sans notification individuelle ni mandat individualisé.

Par ailleurs, le DPF actuel fait l'objet d'un recours pendant devant la Cour de justice de l'Union européenne (dit « Schrems III »). Les deux mécanismes d'adéquation précédents (Safe Harbor en 2015, Privacy Shield en 2020) ont déjà été invalidés par la CJUE. Une invalidation du DPF reste possible.

5.2 Hiérarchie des données transférées

Pour te permettre d'arbitrer en connaissance de cause, voici les catégories de données effectivement transférées aux États-Unis, classées par sensibilité décroissante :

Niveau de protection juridique par prestataire d'IA : à la date de mise à jour de cette politique, parmi les fournisseurs de modèles utilisés ou configurables, seul Google LLC (Gemini API) est certifié au Data Privacy Framework. Anthropic PBC (Claude), OpenAI L.L.C. (GPT) et Cohere Inc.(embeddings) ne sont pas certifiés DPF et opèrent uniquement sous Clauses contractuelles types — un niveau de protection juridique moindre face aux demandes d'accès des autorités américaines. Le DPO vérifie cette information sur la liste officielle à chaque mise à jour de cette page.

5.3 Ce que tu peux faire concrètement

• Limiter l'information identifiante saisie dans l'assistant : tu peux utiliser Coachi sans inscrire ton nom complet, des lieux précis ou des données de santé nominatives dans tes objectifs et conversations.
• Utiliser « Hide My Email » d'Applelors de l'inscription via Sign in with Apple : ton email réel n'est jamais transmis à Coachi ni aux providers d'IA — un alias @privaterelay.appleid.com est utilisé à la place.
• Exporter et supprimer ton compteà tout moment depuis ton profil. La suppression entraîne l'effacement immédiat de la base active et l'écrasement des sauvegardes sous 30 jours. En revanche, les contenus transmis aux providers d'IA dans le passé ne peuvent pas être « rappelés » — d'où l'importance de la limitation en amont.
• Saisir le DPO à dpo@coachi.fr pour toute question, ou la CNIL en cas de réclamation.

6. Durées de conservation

7. Photos de validation (traces)

Les photos que tu ajoutes à tes traces sont stockées dans un bucket privé Supabase (chemin traces/{user_id}/…). Elles ne sont accessibles qu'à toi via une URL signée à durée de vie limitée(1 heure pour l'affichage in-app, 7 jours pour les exports JSON). Ces URL sont non-réutilisables après expiration et ne sont pas indexables. Leur suppression est immédiate lorsque tu supprimes la trace correspondante ou ton compte.

Les métadonnées EXIF(notamment les coordonnées GPS, le modèle d'appareil et l'horodatage technique) sont supprimées à l'upload via un ré-encodage automatique de l'image. Seul le contenu visuel est conservé.

8. Profilage et décisions automatisées

Coachi extrait automatiquement, depuis tes échanges avec l'assistant, des éléments de profil (préférences, contraintes, rythme souhaité) dans le but unique de te proposer des actions plus pertinentes. Tu peux à tout moment consulter ces éléments depuis ton profil. Ce traitement ne constitue pasune décision automatisée produisant des effets juridiques ou affectant de manière significative ta situation au sens de l'article 22 du RGPD : les suggestions restent indicatives et tu gardes entièrement la main.

9. Tes droits

Conformément aux articles 15 à 22 du RGPD, tu disposes des droits suivants :

• Accès (Art. 15) : obtenir la confirmation que tes données sont traitées et en recevoir une copie.
• Rectification (Art. 16) : corriger des données inexactes.
• Effacement (Art. 17) : demander la suppression de tes données.
• Limitation (Art. 18) : suspendre temporairement un traitement.
• Portabilité (Art. 20) : recevoir tes données dans un format structuré (Coachi te fournit un export JSON à la demande).
• Opposition(Art. 21) : t'opposer à un traitement fondé sur l'intérêt légitime.
• Retrait du consentement(Art. 7.3) : pour les traitements fondés sur le consentement (notifications push notamment), à tout moment et aussi facilement que tu l'as donné.

Comment exercer ces droits ?

• Directement depuis l'application : /profile/settings pour exporter ton compte (JSON) ou le supprimer.
• Par email au DPO : dpo@coachi.fr. Une réponse est apportée dans un délai maximal d'un mois, prorogeable de deux mois supplémentaires pour les demandes complexes (Art. 12.3 RGPD).

Tu as également le droit d'introduire une réclamation auprès de la CNIL(3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07) ou par formulaire en ligne : cnil.fr/fr/plaintes.

Directives post-mortem(Art. 85 de la loi Informatique et Libertés) : tu peux définir des directives relatives à la conservation, l'effacement et la communication de tes données après ta mort, soit auprès d'un tiers de confiance certifié par la CNIL, soit en nous les transmettant par écrit à dpo@coachi.fr.

10. Sécurité

• Chiffrement en transit (TLS 1.2+) sur l'ensemble des échanges.
• Chiffrement au repos des bases de données et du stockage (Supabase / AWS KMS).
• Politiques de sécurité par ligne (Row Level Security) pour cloisonner les données.
• Notifications push signées avec des clés VAPID auto-hébergées (pas de tiers).
• Accès aux environnements de production restreint, authentification forte, journaux d'audit.

En cas de violation de données, la CNIL est notifiée dans les 72 heures (Art. 33 RGPD). Si la violation est susceptible d'engendrer un risque élevé pour tes droits et libertés, tu es informé(e) personnellement dans les meilleurs délais (Art. 34 RGPD).

11. Cookies

Coachi n'utilise que des cookies strictement nécessairesau fonctionnement du service (session d'authentification, préférences techniques). La mesure d'audience est réalisée sans cookie via Plausible. Lors d'un paiement, des cookies Stripe peuvent être déposés sur le domaine checkout.stripe.com (page de paiement hébergée par Stripe), et non sur coachi.fr ; ils sont strictement nécessaires à la prévention de la fraude (authentification forte SCA) et ne requièrent pas de consentement préalable.

12. Mineurs

Coachi est un service réservé aux personnes majeures (18 ans et plus). Aucune fonctionnalité n'est destinée aux mineurs et aucune donnée n'est sciemment collectée auprès d'eux.

13. Modification de la politique

Toute modification substantielle est annoncée par email à l'adresse associée à ton compte au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour en haut de cette page fait foi.