01Qui utilise tes données ?
Nouria, À compléter, est responsable des traitements liés aux candidatures, rendez-vous, clients, programmes et factures. Coordonnées professionnelles : À compléter. Contact pour tes droits : À compléter. Tant que cette adresse n’est pas confirmée, utilise le formulaire Contact ou Mes données dans ton espace.
Naday Labs assure la production et la gestion technique. Pour les données de clientèle utilisées selon les instructions de Nouria, son intervention doit être encadrée comme sous-traitance technique. Naday Labs répond de ses propres obligations de sécurité et de confidentialité ; cela ne remplace pas les obligations de Nouria concernant l’usage des dossiers de coaching. Contact technique : contact@nadaylabs.com.
La répartition doit être formalisée avant le service réel. Si Nouria et Naday Labs définissent ensemble les finalités et les moyens essentiels d’un traitement, une responsabilité conjointe et un accord adapté peuvent être nécessaires. Une simple mention sur le site ne transfère pas les responsabilités légales.
Contacter Nouria
Informations sur Naday Labs
02Ce qui fonctionne aujourd’hui
Deux éditions séparées sont proposées. L’édition réelle reste en préparation : ses connexions et formulaires sont fermés jusqu’au raccordement du serveur. Dans l’édition démo, les données saisies sont enregistrées dans ce navigateur ; les apps gardent leurs données de démonstration sur le téléphone. Ces espaces locaux ne constituent pas une base partagée entre appareils. N’y saisis pas de véritables données médicales.
Consulter le site implique toutefois une connexion à AWS Amplify et à son réseau de diffusion : des informations techniques, dont l’adresse IP, peuvent être traitées pour servir les pages et les sécuriser. Ouvrir un lien externe, partager un document ou envoyer un message avec une autre application transmet les informations choisies à ce service.
Supabase, Clerk et Resend sont préparés mais ne reçoivent pas encore les données métier de cette démonstration par un branchement applicatif. Les deux buckets Cloudflare R2 sont créés en juridiction UE selon la confirmation du propriétaire, mais les transferts ne sont pas encore raccordés. Leur état précis est indiqué ci-dessous. Les droits locaux de la démo ne remplacent pas une protection serveur.
03Quelles informations et pourquoi ?
Réservation et contact : identité, e-mail, téléphone, commune, fuseau horaire, disponibilités, objectif et message, pour répondre à ta demande et préparer un échange. Base : démarches précontractuelles à ta demande, ou intérêt légitime à répondre aux autres demandes. Les champs obligatoires sont signalés.
Candidature : coordonnées, date de naissance, objectifs, expérience, disponibilités et réponses choisies, afin d’étudier l’accompagnement. Base : démarches précontractuelles. Les informations de santé nécessitent en plus un consentement explicite distinct. Aucune décision d’acceptation n’est entièrement automatisée.
Coaching et espace client : fiche, formule, quotas, séances, annulations, programme, séries, charges, répétitions, ressentis et messages, pour organiser et exécuter l’accompagnement. Base : contrat ; consentement explicite supplémentaire pour les données révélant la santé. Les notes privées de Nouria ne sont pas publiées dans le portail.
Facturation : coordonnées, prestations, montants, numéros, paiements et pièces, pour établir les devis et tenir la comptabilité. Bases : démarches précontractuelles puis contrat et obligations légales comptables. Aucun paiement bancaire par carte n’est traité par le site de démo.
Sécurité et assistance : identifiants de compte, permissions, événements de connexion et opérations sensibles, pour protéger les comptes et diagnostiquer les incidents. Base : intérêt légitime à sécuriser le service et obligations de sécurité. Aucun outil publicitaire ou de profilage commercial n’est intégré.
En cas d’abus ou d’incident, les messages, dates et éléments strictement nécessaires peuvent être examinés et conservés pour protéger les personnes, sécuriser le service et défendre des droits. Base : intérêt légitime de protection, et obligations légales le cas échéant. La conservation doit être limitée au dossier et au délai de recours applicable ; seules les personnes habilitées ou autorités compétentes y ont accès.
04Santé et mineurs
Douleurs, blessures, grossesse, composition corporelle, fréquence cardiaque et certaines mesures ou notes peuvent révéler la santé. Leur collecte doit être limitée à ce qui est nécessaire pour adapter l’entraînement, avec consentement explicite, information claire et possibilité de retrait. N’envoie pas de dossier médical, d’ordonnance ou d’information médicale concernant une autre personne.
Tu peux retirer ce consentement en contactant Nouria. Le retrait ne remet pas en cause les utilisations licites déjà effectuées. Nouria doit proposer un échange adapté ou préciser les limites d’un accompagnement ne nécessitant pas ces informations. Ces données ne servent ni à la publicité ni à enrichir un compte Clerk.
Un mineur ne doit pas fournir seul des données sensibles ni conclure seul un accompagnement. Un représentant légal doit être associé avant le début du coaching. Le seuil de 15 ans concernant certains consentements numériques ne rend pas un mineur automatiquement capable de conclure un contrat de coaching. Le parcours de vérification des autorisations reste à finaliser avant usage réel.
05Qui peut y accéder ?
Nouria et les membres autorisés de son équipe accèdent uniquement aux informations nécessaires à leur rôle. Naday Labs intervient pour les besoins techniques encadrés. Les prestataires ci-dessous traitent les seules données nécessaires à leurs services lorsqu’ils sont activés. Un conseiller comptable ou une autorité peut recevoir les pièces nécessaires à ses missions ou à une obligation légale.
Le numéro WhatsApp de Nouria n’est accessible que dans l’espace d’un client à qui elle l’a expressément ouvert. Il n’est jamais un contact public. Les données clients ne sont pas vendues. Cela n’exclut pas les transmissions nécessaires aux prestataires techniques.
06Prestataires et état des intégrations
L’inventaire distingue l’hébergement actif de la démonstration et les services prévus pour le branchement réel. Les projets techniques déjà créés peuvent traiter les données de leurs administrateurs, même quand les données clients ne sont pas encore connectées.
AWS Amplify
Actif pour héberger le site de démonstration
Amazon Web Services. Hébergement et diffusion des pages et fichiers du site, sécurité des accès réseau.
Adresses IP, requêtes HTTP, informations techniques du navigateur et éventuels journaux techniques.
Éditions courantes dans l’application Amplify en région eu-west-3 (Paris), diffusion par un réseau mondial. L’ancienne démo technique en us-east-1 (États-Unis) reste conservée temporairement. Aucun formulaire réel n’est ouvert avant le raccordement du serveur.
Des traitements hors UE sont possibles. Le DPA AWS prévoit notamment des clauses contractuelles types. Entité contractante à confirmer sur le compte de facturation.
Contrat de traitement AWS Amplify (nouvel onglet)
Supabase
Projet créé, branchement métier non activé
Supabase Pte. Ltd. Base de données et future API du service.
Fiches, rendez-vous, programmes, mesures, demandes, documents et journal, selon les droits.
Projet Nouria en Irlande (eu-west-1). Cela ne garantit pas que les activités de support ou tous les sous-traitants restent dans l’UE.
Le DPA prévoit les clauses contractuelles types pour les transferts concernés. Vérifier le contrat et les sous-traitants avant la collecte réelle.
Contrat de traitement Supabase (nouvel onglet)
Clerk
Application créée, connexion réelle non activée
Clerk, Inc.. Authentification et gestion des sessions des comptes web, iOS et Android.
Identité de compte, e-mail, identifiant technique, facteurs de connexion et journaux de sécurité. Aucune donnée de santé dans les profils ou métadonnées Clerk.
Localisation effective et sous-traitants à vérifier pour les instances choisies ; aucune résidence exclusivement européenne n’est promise.
Le DPA prévoit le cadre UE/États-Unis lorsqu’il est applicable, et des clauses contractuelles types à défaut. Vérification requise avant activation.
Contrat de traitement Clerk (nouvel onglet)
Resend
Domaine vérifié, envois automatiques désactivés
Plus Five Five, Inc.. Envoi des e-mails transactionnels et suivi de livraison.
Adresse de destinataire, sujet, contenu nécessaire du message, identifiant de livraison et pièces jointes autorisées. Les messages ne doivent pas contenir de détail médical.
Des traitements hors UE sont possibles ; région et sous-traitants effectifs à vérifier avant activation.
Le DPA comprend des clauses contractuelles types. La configuration d’expédition est préparée, sans envoi automatique réel.
Contrat de traitement Resend (nouvel onglet)
Cloudflare R2
Buckets UE créés, non raccordés
Cloudflare, Inc.. Stockage des médias et des PDF, avec séparation public/privé.
Images publiées, factures, devis, programmes et métadonnées techniques d’accès.
Le propriétaire confirme la création de deux buckets en juridiction UE, accès publics désactivés. Aucun transfert applicatif de fichier n’est encore branché. Les documents clients restent privés.
Le DPA prévoit des garanties pour les transferts concernés, notamment les clauses contractuelles types. La juridiction des objets ne couvre pas tous les traitements de Cloudflare.
Contrat de traitement Cloudflare R2 (nouvel onglet)
07Localisation et transferts
La région UE de la base Supabase et la juridiction UE envisagée pour les objets R2 ne permettent pas d’affirmer que toutes les données restent en Europe. L’hébergement actuel, l’authentification, les e-mails, les métadonnées, le support et certains sous-traitants peuvent impliquer des pays hors UE.
Avant l’activation réelle, Nouria et Naday Labs doivent vérifier les contrats de sous-traitance, les lieux et garanties effectifs : décision d’adéquation applicable ou clauses contractuelles types, et mesures supplémentaires si nécessaires. Les DPA des prestataires sont accessibles dans cette politique. Tu peux demander des informations sur les garanties applicables à ton dossier.
08Combien de temps ?
Dans la démo, il n’existe pas de purge automatique par durée : les informations restent sur l’appareil jusqu’à leur effacement ou la réinitialisation. Les brouillons de candidature peuvent contenir des réponses personnelles ; efface-les depuis le questionnaire ou les données du site. Les brouillons du portail sont effacés à la déconnexion.
Pour le service réel, le calendrier proposé est à faire valider avant activation : demandes et candidatures sans suite, 1 an après le dernier échange ; données nécessaires au coaching, durée de l’accompagnement ; mesures et notes de santé, suppression au plus tard 1 an après sa fin sauf retrait antérieur ou justification particulière documentée.
Les seules pièces nécessaires à une obligation légale ou à un litige sont conservées séparément, avec accès restreint et selon le délai applicable. Les factures et pièces comptables sont conservées 10 ans à compter de la clôture de l’exercice. Une conservation commerciale de 3 ans ne s’étend pas automatiquement aux données de santé.
Les durées des journaux, sauvegardes et historiques fournisseurs doivent être fixées et configurées avant le branchement réel. Une suppression de compte n’efface pas automatiquement les pièces légalement requises. Aucune promesse de suppression automatique n’est faite pour la démo.
09Tes droits et comment les exercer
Selon le traitement, tu peux demander accès, rectification, effacement, limitation, opposition pour les traitements fondés sur l’intérêt légitime, et portabilité des données concernées. Tu peux retirer un consentement à tout moment et donner des directives relatives au sort de tes données après ton décès.
Utilise Mes données dans l’espace client du site, le formulaire Contact, ou les coordonnées confirmées de Nouria. L’export du portail couvre les informations qu’il met à disposition ; les autres données te concernant peuvent être demandées à Nouria. Une demande de suppression est examinée, pas exécutée aveuglément. Une preuve d’identité proportionnée peut être demandée en cas de doute.
Une réponse doit être apportée en principe dans un mois. Une prolongation motivée jusqu’à deux mois supplémentaires peut être nécessaire selon la complexité ou le nombre de demandes ; tu en es informé dans le premier mois. Tu peux saisir la CNIL si tu estimes tes droits non respectés.
Adresser une demande
Déposer une plainte auprès de la CNIL
10Cookies, stockage local et appareil
L’édition réelle en préparation ne collecte pas de demande ni de dossier client. L’édition démo conserve les données et préférences nécessaires à la démonstration : rendez-vous locaux, langue/fuseau, session, interface et brouillons demandés. Les polices et images sont servies par le site. Aucun outil publicitaire ni compteur de clics public n’est actif dans cette version. Aucun bandeau de consentement publicitaire n’est donc présenté.
Le caractère nécessaire d’un stockage se vérifie selon son usage ; tout ajout d’outil d’audience ou de traceur non exempté exigera un choix préalable et révocable. Les futurs cookies de session Clerk doivent être inventoriés avant activation. Les apps utilisent leur stockage local, pas les cookies du navigateur pour leurs données de démo.
Tu peux effacer les données du site dans les réglages du navigateur. Cela efface les informations et préférences de cette démo pour ce navigateur et peut te déconnecter. Sur téléphone, utilise les réglages de l’appareil ou la réinitialisation de la démo. Vérifie aussi les fichiers exportés, partagés et les sauvegardes de l’appareil : ils ne disparaissent pas avec une déconnexion.
11Liens, visio et partage
Les liens Instagram, TikTok, vidéos d’exercices, cartes et agendas ouvrent des services externes à ta demande. Un lien de visio peut conduire à Jitsi Meet ou au prestataire choisi par Nouria. Leur politique s’applique lors de l’ouverture.
Un ajout à Google Agenda ou un export .ics peut transmettre le titre, la date, le lien visio et les informations retenues dans le rendez-vous. Un message ouvert dans WhatsApp ou une messagerie peut contenir le texte préparé. Relis les données avant de confirmer un partage. Aucun lien de visio ne doit contenir de détail de santé.
OneSignal n’est pas intégré et aucune notification push liée à ce fournisseur n’est activée. L’app peut ouvrir les fonctions système de partage ou d’agenda sur ton action. Aucun accès général aux contacts, photos ou position n’est nécessaire à la consultation des textes et programmes.
12Sécurité et évolution
Le service réel doit utiliser des sessions vérifiées, des droits serveur, des documents privés et des accès techniques tracés. La démonstration locale ne garantit pas ces protections : n’utilise pas un appareil partagé pour de vraies données sensibles. Les fichiers JSON ou PDF exportés peuvent contenir des données personnelles.
Cette politique couvre le site et les apps iOS/Android Nouria Coaching Premium. Elle sera mise à jour avant toute activation d’un nouveau prestataire ou usage. La date figure en tête du document. Les pages décrivent les fonctionnalités présentes et les limites connues ; elles ne constituent pas une certification de conformité.
