Politique de confidentialité

Dernière mise à jour : 18 octobre 2026

La présente information, fournie conformément aux articles 13 et 14 du Règlement (UE) 2016/679 (« RGPD »), explique comment l'application Endurian pour Apple Watch et iPhone (« l'application ») et le site endurian.app traitent vos données personnelles.

1. Responsable du traitement

Pietro Senoner, personne physique, Viale Sabotino 19/2, 20135 Milan (MI), Italie.
Contact pour toute question relative à la confidentialité : support@endurian.app.

Aucun délégué à la protection des données (DPO) n'a été désigné, cette désignation n'étant pas obligatoire.

2. Données traitées, finalités et bases juridiques

2.1 Compte et connexion avec Apple

Données : identifiant utilisateur Apple, adresse e-mail (uniquement si vous choisissez de la partager ; il peut s'agir d'une adresse anonyme du service de relais privé d'Apple) et jetons de session.
Finalité : créer votre compte, vous authentifier et maintenir la session.
Base juridique : exécution du contrat, c'est-à-dire la fourniture de l'application (art. 6, par. 1, point b du RGPD).

2.2 Entraînements, Santé (HealthKit), position et capteurs sur votre appareil

L'application lit et écrit des données dans Santé (Apple HealthKit) sur votre iPhone et votre Apple Watch, uniquement après que vous avez accordé les autorisations correspondantes, et utilise le GPS et les capteurs Bluetooth pour enregistrer votre activité. Ces données restent sur votre appareil et dans Santé, et n'en sortent que dans les cas décrits aux points 2.3 et 2.4.

Les données HealthKit ne sont jamais utilisées à des fins publicitaires ou de marketing, ne sont pas vendues et ne sont pas cédées à des courtiers en données. Vous pouvez modifier ou retirer les autorisations à tout moment dans les Réglages d'iOS ou dans l'app Santé.

Base juridique : votre consentement, donné par les autorisations d'iOS (art. 6, par. 1, point a et, pour les données de santé, art. 9, par. 2, point a du RGPD).

2.3 Livraison des fichiers d'entraînement aux services partenaires

Données : fichiers d'entraînement au format FIT, pouvant contenir le tracé GPS, la fréquence cardiaque, la vitesse, les temps et d'autres données de l'activité ; un journal des livraisons (identifiants de l'activité, date et heure, service de destination, statut).
Quand : les fichiers ne sont envoyés sur les serveurs d'Endurian que si vous avez connecté un service partenaire qui passe par notre serveur (actuellement Strava), et uniquement pour les livrer à ce service. Ils ne servent à aucune autre fin.
Conservation : les fichiers sont supprimés automatiquement 30 jours après la livraison, ou 30 jours après l'envoi s'ils ne sont jamais livrés. Le journal des livraisons (qui ne contient pas le contenu de vos entraînements) est conservé tant que votre compte existe, afin de savoir ce qui a été livré et où, et de diagnostiquer d'éventuelles erreurs de livraison.
Base juridique : votre consentement, que vous donnez en connectant le service et que vous pouvez retirer en le déconnectant (art. 6, par. 1, point a et, pour les éventuelles données de santé contenues dans les fichiers, art. 9, par. 2, point a du RGPD) ; pour le journal des livraisons, l'exécution du service que vous avez demandé (art. 6, par. 1, point b).

2.4 Connexion aux services partenaires

À votre demande, Endurian se connecte à Strava par l'intermédiaire de nos serveurs. Dropbox et Xert se connectent actuellement directement depuis votre iPhone : leurs jetons sont stockés uniquement dans le Trousseau (Keychain) de votre iPhone. TrainingPeaks, Komoot et Trailforks arrivent bientôt (pas encore disponibles).

• Jetons d'accès : la connexion se fait par autorisation OAuth. Les jetons Strava sont stockés chiffrés (AES-256-GCM) sur nos serveurs ; ceux de Dropbox et Xert uniquement dans le Trousseau de votre iPhone. Pour Xert, la connexion se fait actuellement avec un identifiant et un mot de passe : le mot de passe n'est jamais conservé, seuls le sont les jetons obtenus lors de cette connexion.
• Données importées depuis les partenaires (par exemple parcours et entraînements planifiés) : transmises à votre appareil et non conservées sur nos serveurs au-delà de 7 jours.
• Données provenant de Strava : affichées uniquement à l'utilisateur auquel elles appartiennent, et jamais utilisées pour entraîner ou faire fonctionner des systèmes d'intelligence artificielle ou d'apprentissage automatique, ni à des fins d'analyse.
• Déconnexion ou révocation : lorsque vous déconnectez un service, ou en révoquez l'autorisation depuis le service lui-même, les jetons sont supprimés immédiatement et les données associées dans un délai de 30 jours.
• Rôle des partenaires : une fois livrées, les données sont traitées par le service partenaire en tant que responsable de traitement autonome, selon sa propre politique de confidentialité (par exemple Strava, Dropbox ; pour les autres, consultez le site du service). Endurian ne contrôle pas ce qu'un partenaire fait des données après la livraison.

Base juridique : votre consentement, que vous pouvez retirer à tout moment en déconnectant le service (art. 6, par. 1, point a du RGPD). Le retrait ne remet pas en cause les traitements déjà effectués.

2.5 Cartes

Les cartes hors ligne sont téléchargées depuis maps.endurian.app, servi par Cloudflare (R2). Pour livrer les fichiers et protéger le service, Cloudflare traite des données techniques de la requête, en particulier votre adresse IP (journaux du serveur). Nous n'utilisons pas ces requêtes pour vous profiler. Les sources des données cartographiques et altimétriques sont décrites sur la page Crédits.
Base juridique : intérêt légitime à fournir et à sécuriser le service de téléchargement (art. 6, par. 1, point f du RGPD).

2.6 Notifications push

Si vous les activez, les notifications push sont acheminées par le service de notifications push d'Apple. Base juridique : votre consentement (art. 6, par. 1, point a), que vous gérez dans les Réglages d'iOS.

2.7 Assistance par e-mail

Si vous écrivez à support@endurian.app, nous traitons votre adresse e-mail et le contenu de votre message pour vous répondre. Base juridique : mesures précontractuelles ou contractuelles prises à votre demande et intérêt légitime à traiter les demandes (art. 6, par. 1, points b et f).

2.8 Site web

Le site endurian.app n'utilise ni cookies, ni outils d'analyse, ni publicité. Comme pour tout site, l'hébergeur (Cloudflare) peut traiter des données techniques de navigation, telles que l'adresse IP, pour fournir et protéger le service (art. 6, par. 1, point f).

3. Destinataires et prestataires

• Cloudflare (Cloudflare, Inc. et sociétés du groupe) : hébergement, Workers, base de données D1 et stockage de fichiers R2 ; la base de données et le stockage des fichiers sont situés dans l'Union européenne (juridiction UE de Cloudflare).
• Apple (Apple Inc. et sociétés du groupe) : connexion avec Apple et notifications push.
• Services partenaires que vous choisissez de connecter (point 2.4), en tant que responsables de traitement autonomes.

Dans la mesure où ils traitent des données pour notre compte, les prestataires sont désignés sous-traitants au sens de l'art. 28 du RGPD. Nous ne vendons pas les données et ne les cédons pas à des tiers pour leurs propres finalités. Nous pouvons communiquer des données si la loi ou une autorité l'exige.

4. Transferts hors de l'EEE

Cloudflare et Apple appartiennent à des groupes dont le siège est aux États-Unis ; Cloudflare peut en outre traiter des données techniques (par exemple l'adresse IP) à l'échelle mondiale pour fournir et protéger le service. Les transferts vers les États-Unis reposent, pour les prestataires qui y adhèrent, sur la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (Data Privacy Framework, 10 juillet 2023), et dans tous les cas sur les clauses contractuelles types approuvées par la Commission européenne, avec des mesures complémentaires si nécessaire. Si vous connectez un service partenaire établi hors de l'EEE, les données lui sont transférées à votre demande.

5. Ce que nous ne faisons pas

Nous n'affichons pas de publicité, n'utilisons ni outils d'analyse ni outils de pistage, ne profilons pas les utilisateurs, ne vendons pas les données et ne les utilisons pas pour entraîner des systèmes d'intelligence artificielle.

6. Durées de conservation

7. Sécurité

Les échanges avec nos serveurs se font par connexion chiffrée (HTTPS) et les jetons des services partenaires sont stockés chiffrés (AES-256-GCM). Aucun système n'est sûr à cent pour cent : en cas de violation de données présentant un risque pour vous, nous effectuerons les notifications prévues par les articles 33 et 34 du RGPD.

8. Vos droits

Vous avez le droit d'accéder à vos données, de les faire rectifier ou effacer, d'en limiter le traitement, de les recevoir dans un format structuré et couramment utilisé (portabilité) et de vous opposer aux traitements fondés sur l'intérêt légitime (art. 15 à 21 du RGPD). Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment sans remettre en cause les traitements antérieurs.

Pour exercer vos droits, écrivez à support@endurian.app ; nous répondons dans un délai d'un mois, prolongeable de deux mois dans les cas complexes prévus par le RGPD. Vous avez également le droit d'introduire une réclamation auprès de l'autorité italienne de protection des données, le Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Rome, garanteprivacy.it), ou auprès de l'autorité de contrôle du pays de l'UE où vous résidez ou travaillez (en France, la CNIL).

9. Suppression du compte

Vous pouvez supprimer votre compte à tout moment directement dans l'application. Nous effaçons alors votre compte et toutes vos données sur nos serveurs (données du compte, journal des livraisons et fichiers encore présents), ce qui, de votre point de vue, est immédiat. Nous tentons aussitôt de révoquer les autorisations auprès d'Apple et des services partenaires ; si un partenaire est temporairement injoignable, la tentative est répétée automatiquement pendant 7 jours au maximum, en utilisant uniquement le jeton chiffré (nous ne conservons aucune autre donnée vous concernant). Les données présentes dans Santé sur votre appareil et celles déjà livrées aux services partenaires échappent à notre contrôle : pour ces dernières, adressez-vous au service concerné.

10. Mineurs

Endurian ne s'adresse pas aux enfants de moins de 14 ans. En Italie, le mineur de 14 ans ou plus peut consentir seul au traitement de ses données en lien avec les services de la société de l'information (art. 2-quinquies du décret législatif 196/2003) ; en dessous de cet âge, l'autorisation du titulaire de la responsabilité parentale est requise. D'autres pays de l'UE peuvent fixer des seuils différents (entre 13 et 16 ans). Nous ne collectons pas sciemment de données d'enfants de moins de 14 ans : si vous pensez qu'un enfant a créé un compte, écrivez-nous et nous le supprimerons.

11. Caractère obligatoire des données et décisions automatisées

La communication des données du compte est nécessaire pour utiliser les fonctions qui requièrent un compte ; la connexion des services partenaires et les autorisations d'accès à Santé sont facultatives. Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard.

12. Modifications

Nous pouvons mettre à jour cette information, par exemple lors de l'ajout de fonctions ou de services partenaires. Nous publierons la nouvelle version sur cette page avec la date de mise à jour et, pour les changements importants, vous en informerons de manière appropriée.