Politique de confidentialité
Cette politique de confidentialité vous informe de la façon dont Overload collecte, utilise et protège vos données personnelles, que vous utilisiez le site overload.coach ou l'application mobile Overload.
1. Responsable du traitement
Olivier Cartier, entrepreneur individuel
Pour les coordonnées complètes (adresse postale, téléphone, SIRET), consultez les mentions légales.
Email : olivier@overload.coach
2. Données collectées
Sur le site web overload.coach
Le site est un site statique sans formulaire ni compte utilisateur. Aucune donnée personnelle n'est collectée directement via le site.
Des outils de mesure d'audience cookieless (Plausible Analytics et PostHog en mode sans cookie) collectent des données de navigation anonymisées : URL visitée, durée de session, type d'appareil, pays approximatif. Ces outils ne permettent pas de vous identifier. Pour le détail, consultez la politique cookies et traceurs.
Dans l'application mobile Overload
Les données sont regroupées ci-dessous par origine.
Que vous saisissez vous-même
- Compte : adresse e-mail, mot de passe (stocké haché), prénom ou pseudonyme, langue.
- Entraînement : séances, exercices, séries, charges, répétitions, durées et commentaires libres.
- Profil sportif : âge, objectif hebdomadaire, niveau de pratique.
- Conversations avec l'assistant IA : le texte que vous lui écrivez ou dictez, conservé pour que vous puissiez rouvrir une conversation.
Que l'application lit depuis Apple Santé ou Health Connect, si vous l'y autorisez
- Sommeil, nombre de pas, nutrition (calories, protéines, détail par repas).
- Poids, pourcentage de masse grasse, masse maigre, masse osseuse, masse hydrique.
Que l'application importe depuis Strava, si vous connectez votre compte
- Courses et sorties vélo : tracé GPS, distance, allure, dénivelé, puissance.
- Fréquence cardiaque moyenne et maximale.
Que l'application produit ou reçoit
- Analyses dérivées : tonnage, charge d'entraînement, records, estimations de force, récapitulatifs hebdomadaires.
- Mémoire du coach : ce que l'assistant IA garde d'une conversation à l'autre, comme vos objectifs, blessures, restrictions, équipement, disponibilités, préférences, nutrition et mensurations. Elle retient ce que vous lui dites et ce qu'il déduit de vos conversations et de vos entraînements. Vous pouvez consulter, corriger et supprimer chaque élément dans l'application.
- Abonnement : identifiant client, historique d'achats et de renouvellements.
- Notifications : jeton d'envoi propre à votre appareil.
- Support : contenu des tickets que vous ouvrez.
- Télémétrie : événements d'usage, et si vous y consentez, enregistrements de session et événements d'installation.
Données de santé (article 9 du RGPD)
Le sommeil, la fréquence cardiaque, le poids et la composition corporelle sont des données de santé, que le RGPD range parmi les catégories particulières de son article 9. Leur traitement repose sur votre consentement explicite, donné au moment où vous autorisez la connexion à Apple Santé, à Health Connect ou à Strava.
L'assistant IA ne garde en mémoire vos blessures, votre nutrition et vos mensurations que si vous avez donné ce consentement.
Vous pouvez retirer ce consentement à tout moment depuis l'application. La déconnexion arrête la synchronisation, et la purge efface les données déjà importées, y compris les éléments de santé de la mémoire du coach.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 et 9 RGPD) |
|---|---|
| Fourniture des fonctionnalités de l'application (compte, notes, analyses) | Exécution du contrat (art. 6-1-b) |
| Synchronisation et affichage des données de santé et des activités sportives | Consentement explicite (art. 9-2-a) |
| Gestion de l'abonnement et facturation | Exécution du contrat (art. 6-1-b) |
| Notifications push | Consentement (art. 6-1-a) |
| Assistant IA et récapitulatifs générés | Exécution du contrat (art. 6-1-b) |
| Mesure d'audience anonyme du site web | Intérêt légitime — traceurs exemptés de consentement (art. 6-1-f + délibération CNIL 2020-091) |
| Analyses de session et attribution dans l'application | Consentement (art. 6-1-a) |
| Sécurité du service et prévention des abus | Intérêt légitime (art. 6-1-f) |
| Conservation des documents comptables | Obligation légale (art. 6-1-c) |
4. Durées de conservation
| Données | Durée |
|---|---|
| Compte et données d'entraînement | Effacés à la suppression du compte. Les données résiduelles sont purgées dans un délai maximal de 60 jours |
| Données de santé importées | Jusqu'à la déconnexion de la source ou la purge que vous déclenchez |
| Logs serveur (OVH) | 12 mois maximum |
| Statistiques d'audience du site (Plausible, auto-hébergé) | Conservées tant que l'instance est en service. Les mesures sont agrégées et ne comportent aucun identifiant permettant de vous reconnaître |
| Événements d'usage (PostHog) | Selon la durée de conservation du plan PostHog souscrit : 1 an sur l'offre gratuite, 7 ans sur les offres payantes |
| Enregistrements de session (PostHog) | 30 jours |
| Requêtes et réponses de l'assistant IA dans le suivi technique (PostHog) | Selon la durée de conservation du plan PostHog souscrit, comme les événements d'usage |
| Conversations avec l'assistant IA | Jusqu'à la suppression du compte. Une conversation que vous supprimez disparaît de l'application, mais son contenu reste stocké jusqu'à la suppression du compte |
| Mémoire du coach | Jusqu'à ce que vous supprimiez l'élément ou le compte. Un élément de santé que l'assistant déduit, plutôt que vous ne l'énoncez, cesse d'être utilisé au bout de 30 jours |
| Requêtes et réponses de l'assistant IA chez Anthropic | Non conservées après la réponse, par défaut. Un contenu signalé par les systèmes automatisés de confiance et de sécurité d'Anthropic peut être conservé jusqu'à 2 ans |
| Documents comptables | 10 ans (obligation légale) |
La suppression du compte se déroule en deux temps. Le compte et son contenu deviennent inaccessibles immédiatement. Les données résiduelles, notamment les copies techniques et les caches, sont effacées dans les 60 jours qui suivent.
5. Destinataires et sous-traitants
Vos données ne sont ni vendues ni cédées à des tiers à des fins commerciales.
Sous-traitants (article 28 du RGPD)
Ces prestataires traitent vos données pour notre compte et sur nos instructions, dans les limites strictement nécessaires à chaque finalité. Chacun est lié par un accord de traitement des données.
| Sous-traitant | Rôle | Données concernées | Localisation |
|---|---|---|---|
| OVH SAS | Hébergement du site, de l'API et de la base de données | Toutes les données du compte | France (UE) |
| Plausible Analytics (instance auto-hébergée) | Mesure d'audience du site | Données de navigation anonymes | France (UE) |
| PostHog Inc. (PostHog Cloud EU) | Mesure d'audience, analyses produit et suivi technique de l'assistant IA | Événements d'usage, requêtes et réponses de l'assistant IA, enregistrements de session si consentis | Allemagne — AWS eu-central-1 (UE) |
| Zammad (instance auto-hébergée) | Support et tickets | Contenu de vos demandes | France (UE) |
| Anthropic PBC | Assistant IA, récapitulatifs, catégorisation | Notes d'entraînement, données de santé transmises au coach, mémoire du coach et texte des conversations | États-Unis |
| RevenueCat Inc. | Gestion des abonnements | E-mail, identifiant, historique d'achats | États-Unis |
| Google LLC (Firebase Cloud Messaging) | Notifications push Android | Jeton d'appareil | États-Unis |
| Google LLC (Gmail SMTP) | Envoi des e-mails transactionnels | Adresse e-mail, contenu du message | États-Unis |
| Expo | Notifications push | Jeton d'appareil, contenu de la notification | États-Unis |
| Meta Platforms Ireland Ltd. | Attribution publicitaire, si vous y consentez | Événements d'installation et de conversion | Irlande (UE), avec transfert vers les États-Unis |
| TikTok | Attribution publicitaire, si vous y consentez | Événements d'installation et d'achat | États-Unis, Singapour |
Les traitements marqués « si vous y consentez » n'ont lieu qu'après votre accord, révocable à tout moment depuis les réglages de confidentialité de l'application.
Autres destinataires et sources
Ces acteurs ne sont pas des sous-traitants : ils déterminent eux-mêmes les finalités et les moyens de leurs propres traitements, et sont responsables de traitement à part entière. Leur propre politique de confidentialité s'applique à ce qu'ils font de vos données.
| Acteur | Relation | Données concernées |
|---|---|---|
| Strava Inc. | Source. Lorsque vous connectez votre compte Strava, c'est vous qui autorisez Strava à nous transmettre vos activités | Jetons d'accès, tracés GPS, fréquence cardiaque, allure |
| Apple Inc. | Fournisseur d'identité et revendeur. « Se connecter avec Apple », puis distribution et facturation de l'abonnement sur l'App Store, et attribution des installations issues d'Apple Search Ads | Identifiant Apple, identifiant d'achat, jeton d'attribution d'installation |
| Google LLC (Google Play, Google Sign-In) | Fournisseur d'identité et revendeur. « Se connecter avec Google », puis distribution et facturation de l'abonnement sur Android | Identifiant Google, adresse e-mail, identifiant d'achat |
| Apple Santé / Health Connect | Source, sur votre appareil. Vous nous autorisez à y lire vos mesures | Sommeil, pas, nutrition, poids, composition corporelle |
| Reconnaissance vocale d'Apple ou de Google | Service du système de votre appareil. Lorsque vous dictez un message à l'assistant IA, le système peut envoyer l'audio aux serveurs d'Apple ou de Google pour le transcrire | Enregistrement de votre voix |
Anthropic n'utilise pas le contenu de vos échanges avec l'assistant IA pour entraîner ses modèles sans notre autorisation expresse, et nous ne la donnons pas.
Assistants IA que vous connectez (Claude, ChatGPT)
Vous pouvez connecter Claude (Anthropic) ou ChatGPT (OpenAI) à votre compte Overload avec notre connecteur. Dans ce cas, Anthropic ou OpenAI n'agit pas comme notre sous-traitant. Il reçoit vos données à votre demande.
- C'est vous qui lancez la connexion, puis qui l'approuvez sur l'écran de consentement d'Overload.
- L'assistant reçoit seulement les données qu'il demande pour vous répondre. La politique de confidentialité d'Anthropic ou d'OpenAI s'applique à ces données.
- Overload ne conserve aucun contenu de vos conversations avec ces assistants.
- L'accès cesse lorsque vous déconnectez l'assistant. Un jeton de connexion dure 30 jours au plus.
6. Transferts hors Union européenne
Vos données d'entraînement et vos données de santé sont hébergées dans l'Union européenne, chez OVH SAS en France.
Certains sous-traitants listés ci-dessus traitent néanmoins des données aux États-Unis : l'assistant IA, la gestion des abonnements, les notifications push, l'envoi des e-mails et, si vous y consentez, l'attribution publicitaire. Ces transferts reposent sur les garanties prévues au chapitre V du RGPD, à savoir la certification au Data Privacy Framework UE–États-Unis ou la signature de clauses contractuelles types de la Commission européenne, selon le sous-traitant.
L'assistant IA s'exécute chez Anthropic PBC, aux États-Unis. Chaque requête lui transmet les données utiles à votre demande, y compris des données de santé lorsque vous interrogez le coach. Ce transfert repose sur les clauses contractuelles types de la Commission européenne, intégrées à l'accord de traitement des données d'Anthropic.
7. Vos droits (articles 15 à 22 du RGPD)
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès (art. 15) — obtenir une copie de vos données.
- Droit de rectification (art. 16) — corriger des données inexactes.
- Droit à l'effacement (art. 17) — demander la suppression de vos données.
- Droit à la limitation (art. 18) — suspendre temporairement le traitement.
- Droit d'opposition (art. 21) — vous opposer à un traitement fondé sur l'intérêt légitime.
- Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré.
- Droit de retrait du consentement (art. 7-3) — retirer à tout moment un consentement donné, sans que cela remette en cause la licéité du traitement déjà effectué.
- Droit de définir le sort de vos données après votre décès.
Pour exercer vos droits :
Envoyez votre demande par email à olivier@overload.coach ou par courrier à Olivier Cartier, 4 rue Antoine de Saint-Exupéry, 69160 Tassin-la-Demi-Lune, France, en joignant une copie d'une pièce d'identité.
Vous disposez également du droit de déposer une réclamation auprès de la CNIL.
8. Sécurité
Des mesures techniques et organisationnelles appropriées sont mises en œuvre pour protéger vos données : connexion HTTPS, mots de passe hachés, accès restreint aux données, hébergement chez OVH SAS en France.
En cas d'incident de sécurité susceptible d'affecter vos droits et libertés, vous en serez informé dans les meilleurs délais conformément à l'article 34 du RGPD.
9. Modifications
Cette politique peut être mise à jour à tout moment. La date de dernière mise à jour est indiquée ci-dessous. En cas de modification substantielle, un avis sera publié sur le site.
Dernière mise à jour : 13 octobre 2026