Ovyxa

Politique de confidentialité

Version de la politique de données de santé 2026-10-01 · en vigueur depuis le 1er octobre 2026

Ovyxa est un coach d'entraînement. Il lit un petit nombre de mesures de récupération et ce que vous lui dites de vos séances, et il s'en sert pour décider de la suite. Cette page dit exactement lesquelles, pourquoi chacune est nécessaire, combien de temps elle est gardée, et ce que vous pouvez en faire.

Ovyxa n'est pas un dispositif médical

Rien ici n'est un diagnostic, un traitement ni un avis médical. Ovyxa ne détecte ni maladie ni blessure et n'est pas conçu pour cela. Si quelque chose fait mal, si une mesure vous inquiète, ou si vous ne savez pas si l'entraînement est sans danger pour vous, parlez-en à un médecin ou à un professionnel de santé qualifié. N'attendez pas qu'une application vous le dise : elle ne le peut pas.

1. Qui est responsable

Ovyxa est responsable du traitement de tout ce que décrit cette page. Les questions, les demandes et les réclamations relatives à vos données vont toutes à une seule adresse, et un humain la lit.

Responsable de traitement
Paul Fournier, entrepreneur individuel
15 rue de Bièvre, 75005 Paris, France
SIREN 843 658 519 — immatriculé au Registre national des entreprises (RNE)
TVA non applicable, article 293 B du code général des impôts
Contact
contact@ovyxa.com
Délégué à la protection des données
Aucun n'est désigné. Le traitement ne relève d'aucun des trois cas de l'article 37(1) : Ovyxa n'est pas un organisme public, son activité de base n'est pas le suivi régulier et systématique à grande échelle, et le traitement de données de santé qu'elle opère est celui de ses propres clients, un par un, et non un traitement à grande échelle au sens du même article. Écrivez à l'adresse ci-dessus.
Service
Ovyxa pour iOS, et l'API à l'adresse api.ovyxa.com
Où vivent les données
OVHcloud, région de Gravelines, France (Union européenne)

Si vous êtes dans l'Union européenne ou au Royaume-Uni et que vous estimez que vos données ont été mal traitées, vous pouvez saisir votre autorité de contrôle nationale — en France, la CNIL. Vous êtes bienvenu pour nous écrire d'abord, mais vous n'y êtes pas tenu.

2. Ce qui est collecté, et pourquoi

Chaque catégorie ci-dessous existe parce qu'une partie précise du moteur de coaching la lit. Si un champ cesse d'être lu, il cesse d'être collecté. Il n'y a pas de ligne « analytique » dans ce tableau parce qu'il n'y a aucune collecte analytique.

Catégorie Ce que c'est Pourquoi c'est nécessaire D'où ça vient
Compte Un identifiant de compte pseudonyme et l'identifiant stable qu'Apple délivre pour « Se connecter avec Apple ». Vous reconnaître d'une session et d'un appareil à l'autre. Apple, à la connexion.
Nom Aucun. L'application ne lit pas le nom qu'Apple lui propose, et le serveur refuse le champ : il n'existe ni dans la requête de connexion, ni dans la base. Rien ne le lit, donc rien ne le collecte. —
Confirmation d'âge Le fait que vous avez confirmé avoir 16 ans ou plus, et le moment où vous l'avez fait. Pas votre date de naissance, qui n'est jamais demandée. Les conditions l'exigent, et l'App Store l'exige. Rien d'autre ne la lit — voir la section 12. Vous, une fois, à la création du compte.
Année de naissance Quatre chiffres, et rien de plus précis. Toujours pas votre date de naissance, et pas le même enregistrement que la confirmation d'âge ci-dessus, qui garde son sens propre. Elle est facultative : la refuser ne vous coûte que l'estimation. Une formule publiée estime une fréquence cardiaque maximale à partir d'un âge. Sans année, pas d'âge, et sans âge, pas d'estimation — voir la section 2a. Vous, dans l'application, si vous le voulez.
Ancrages d'intensité Les nombres de référence auxquels une intensité d'entraînement se mesure : FC maximale, FC au seuil, FC de repos et VO2max. Chacun est rangé avec sa provenance — déclaré par vous, mesuré par votre montre, ou testé — et le jour où il a été établi. Une intensité est un pourcentage de quelque chose. Sans ancrage, l'application ne peut pas dire quel effort une séance demande, et elle n'en invente pas. Vous, ou Apple Santé si vous confirmez une valeur qu'il propose — voir les sections 2a et 3.
Objectifs et compétitions Ce pour quoi vous vous entraînez, sa priorité, et le nom, la date, la distance et la discipline d'une épreuve quand vous en saisissez une. Pour le trail, le dénivelé positif, le dénivelé négatif et la technicité du parcours. C'est ce que le plan vise. La date de l'épreuve détermine le début de l'affûtage, et le dénivelé négatif change ce qui est prescrit avant elle. Vous, dans l'application.
Plan et historique d'entraînement Les séances prévues et réalisées, les prescriptions, la disponibilité hebdomadaire, le matériel, le terrain sur lequel vous courez, la durée que vous voulez donner à une séance de force si vous l'indiquez, et le registre de chaque adaptation avec les codes de raison qui la motivent. Le plan lui-même, et la piste d'audit qui permet d'expliquer un changement et de le défaire. Vous, et le moteur.
Retour après séance L'effort perçu (RPE), les répétitions en réserve (RIR), la durée, la distance, et un signalement de douleur. L'effort que vous rapportez est une donnée de premier rang ; le plan change à cause de lui. Un signalement de douleur est un signal de sécurité. Vous, après une séance.
Mesures de récupération La variabilité de la fréquence cardiaque (SDNN), la fréquence cardiaque de repos, et le total de sommeil par nuit, ainsi que les bandes de référence qui en sont dérivées. Le moteur de récupération les lit pour juger de votre état de récupération. Apple Santé sur votre iPhone, avec votre autorisation — voir la section 3.
Limitations Des codes issus d'une liste fermée, par exemple une limitation du genou. Pas de texte libre. Empêcher le plan de prescrire ce que vous ne devriez pas faire. Vous, dans l'application.
Contraintes durables Une phrase que vous écrivez vous-même — « je n'ai qu'une kettlebell », « je ne peux pas sauter dans l'appartement » — et, à côté, ce que le modèle a réussi à en traduire dans un vocabulaire fermé. Les deux sont gardés : la traduction parce que c'est la seule chose qu'un moteur lit, votre phrase pour que vous puissiez relire ce qui a été compris et le démentir. Une phrase que personne n'a su placer est gardée sans traduction et ne change aucun plan. Aucune grille de cases ne contient « je n'ai que du plat ». Ce que vous dites en mots est la seule façon de le dire. Vous, dans l'application.
Notes de contexte du jour Un vocabulaire fermé de quatre choses que vous pouvez dire d'une journée : une nuit perturbée, un déplacement, un stress de vie inhabituel, ou une variation cyclique attendue. Un contexte qui explique une mesure, pour qu'un mauvais chiffre se lise comme une mauvaise nuit plutôt que comme une perte de forme. Vous, et seulement si vous le demandez — voir la section 4.
Repas Ce que vous notez avoir mangé : le jour, le repas, et pour chaque aliment son nom, sa quantité et ses nutriments (énergie, protéines, glucides, lipides, fibres, alcool), et s'il vient d'un code-barres, de la table Ciqual ou de votre saisie. Aucun code-barres, aucune photo ni aucun code produit n'est conservé. Les plats enregistrés et les jours que vous marquez complets sont gardés de la même façon. Montrer ce que vous avez mangé face aux plages du jour, et vous laisser renoter un plat ou un aliment récent. Seulement si vous avez activé la nutrition — voir la section 4a. Vous, dans l'application.
Masse corporelle et mensurations Votre masse corporelle et, si vous le voulez, votre taille et vos tours de taille, hanches, poitrine, bras et cuisse, chacun avec le jour de la mesure. Tous les champs peuvent rester vides. Les plages du jour sont publiées par kilogramme de masse corporelle ; la taille n'est demandée que pour vous avertir à propos d'un objectif de poids. Aucun indice de masse corporelle, aucun pourcentage de masse grasse et aucun poids idéal n'est jamais affiché. Vous, dans l'application, et seulement si vous avez activé la nutrition.
Objectif nutritionnel Perdre, prendre ou maintenir de la masse, prendre du muscle ou performer ; une masse cible et une date si vous les donnez. Rythmer un changement de masse à l'intérieur de votre entraînement, jamais devant lui. Vous, dans l'application.
Conversation avec le coach Vos questions au coach IA et ses réponses, telles qu'elles sont écrites — donc vos mots. Que la conversation ait une suite : les derniers tours sont relus pour répondre au suivant. Vous, si vous avez activé le coach IA.
Fuseau horaire Le fuseau IANA dans lequel vous êtes, et depuis quand, en registre à ajout seul. Placer une séance sur le bon jour du calendrier quand vous voyagez. C'est une localisation grossière, et elle est traitée comme une donnée personnelle. Votre appareil.
État de l'abonnement L'existence ou non d'un abonnement actif, et les évènements de facturation qui l'établissent. Débloquer les fonctions payantes. Les achats eux-mêmes sont traités par Apple. RevenueCat, sur le compte rendu d'achat d'Apple.
Évènements de sécurité Connexions, renouvellements de session, réemploi d'un jeton de rafraîchissement, changements de consentement, demandes de suppression. Enregistrés contre un identifiant pseudonyme. Détecter une session volée, et pouvoir prouver plus tard ce qui est arrivé à votre compte, et quand. Le service lui-même.
Contact de suppression Une adresse email, recueillie seulement quand vous demandez la suppression de votre compte, et effacée quand la suppression aboutit ou est annulée. Pouvoir vous dire que la suppression est allée au bout. Vous, au moment où vous demandez la suppression.

Aucune adresse email n'est conservée pour un compte actif. « Se connecter avec Apple » vous laisse masquer la vôtre, et Ovyxa ne la demande jamais. La seule exception est le contact de suppression ci-dessus, qui existe tant qu'une suppression est en cours et pas plus longtemps — la base de données elle-même refuse d'en porter une pour un compte qui ne se supprime pas.

2a. Une estimation n'est jamais rangée comme une mesure

Si vous n'avez jamais donné de fréquence cardiaque maximale et que vous avez donné une année de naissance, l'application affiche une estimation issue d'une formule publiée (Tanaka 2001). Elle est calculée à l'affichage et n'est pas enregistrée. Un ancrage n'entre dans la base que lorsque vous le déclarez, ou lorsque vous confirmez une valeur proposée par Apple Santé — et il y entre alors avec sa provenance, pour qu'aucune estimation ne puisse plus tard passer pour une mesure.

L'erreur propre de cette formule est de l'ordre de 7 à 11 battements par minute. C'est pourquoi l'application le dit à l'endroit où elle l'affiche, et pourquoi une valeur mesurée remplace toujours une valeur estimée.

3. Apple Santé, et ce qui n'est délibérément pas lu

Ovyxa demande à iOS l'accès en lecture à six types, et à aucun autre. Il n'écrit jamais rien dans Santé.

Lu Rangé comme Pourquoi
Variabilité de la fréquence cardiaque (SDNN) Une valeur par mesure La référence première du moteur de récupération.
Fréquence cardiaque de repos Une valeur par jour Une mesure de récupération à part entière, pas une confirmation de la précédente.
Analyse du sommeil Un total par nuit. Le détail des phases est écarté sur votre iPhone et n'en sort jamais. La durée de sommeil déplace le jugement de récupération ; l'architecture des phases non.
VO2max (capacité cardio) La seule valeur la plus récente, et seulement si vous touchez « Utiliser celle-ci ». Aucun historique n'est lu, et rien n'est envoyé sans votre confirmation. Un ancrage d'intensité que vous avez déjà, plutôt qu'un test à aller faire.
Fréquence cardiaque, pendant les séances uniquement Un seul nombre : la valeur la plus haute sur les séances récentes, calculée sur votre iPhone, et seulement si vous touchez « Utiliser celle-ci ». Aucune série de fréquence cardiaque, aucune valeur individuelle et aucun horodatage ne quitte l'appareil — tout sauf ce maximum est écarté là où il a été lu. La fréquence cardiaque la plus haute que votre propre entraînement a réellement produite est un ancrage réel, là où la formule de la section 2a n'est qu'une estimation.
Séances d'entraînement Un résumé par séance de course, de vélo ou de musculation, des 28 derniers jours puis au fil de l'eau : son sport, son début et sa fin, sa durée, et, quand votre montre les a écrits dans Santé, sa distance, son dénivelé et votre fréquence cardiaque moyenne et maximale. Il entre dans votre historique d'entraînement, marqué comme venant d'Apple Santé, et attend que vous disiez comment elle s'est passée. Aucun tracé GPS, aucune série de fréquence cardiaque, aucun autre type de séance ne quitte l'iPhone, ni les séances qu'Ovyxa a elle-même écrites. Les bornes de vos séances de la dernière année servent aussi, sur l'iPhone seulement, à trouver le maximum de la ligne précédente. Garmin, COROS, Amazfit et Oura écrivent vos séances dans Santé : c'est ainsi qu'Ovyxa sait ce que vous avez fait sans que vous le saisissiez, et ajuste la suite.

Toujours pas demandés, et chacun pour une raison : une chronologie continue de fréquence cardiaque, parce qu'elle représente environ vingt-cinq fois le volume et que rien ici n'en lit une — la ligne ci-dessus prend un seul maximum et laisse la série sur le téléphone ; et tous les types caractéristiques — date de naissance, sexe biologique, groupe sanguin — parce qu'aucun n'est lu par quoi que ce soit. L'année de naissance de la section 2 est saisie par vous si vous voulez l'estimation ; elle n'est jamais prise dans Santé. Les séances, enfin, n'arrivent que résumées, comme le dit la ligne ci-dessus.

L'application ne remonte que les quatorze derniers jours au premier envoi après un démarrage à froid, puis seulement ce qui est nouveau. Elle ne balaie pas l'historique de votre iPhone : ce qui n'a pas de lecteur n'est pas collecté. Le moteur de récupération, lui, raisonne sur une fenêtre de référence de 60 jours — c'est la profondeur qu'il lit, et non la durée pendant laquelle une mesure est conservée, qui est dite à la section 7. À l'arrivée, le serveur écarte sans l'enregistrer toute mesure datée de plus de 60 jours, ou d'un jour qui n'est pas encore venu : ce que le moteur ne lira jamais n'entre pas dans la base.

Autoriser l'accès à Santé dans iOS n'est pas en soi un consentement à l'envoi : Ovyxa vous le demande séparément, dans l'application, avant qu'une seule mesure parte. Si vous n'avez pas répondu, rien ne part. Les données de santé ne sont jamais utilisées pour de la publicité, et elles ne le seront jamais.

4. Les données de l'article 9 et leur consentement propre

Données de santé

Les mesures de récupération, ce que vous dites de votre corps au check-in du matin — dont la douleur —, l'effort et le ressenti après une séance, vos limitations et les phrases de vos contraintes durables sont des données concernant la santé au sens de l'article 9 du RGPD. Elles reposent toutes sur un consentement explicite unique, demandé à la création du compte.

Ce consentement est nécessaire pour utiliser Ovyxa, parce qu'un coach d'entraînement qui ne peut rien lire de votre corps ne peut pas coacher. Le refuser, c'est ne pas ouvrir de compte ; le retirer met fin au compte, et donc efface ce qui avait été lu.

Une des quatre notes de contexte du jour — la variation cyclique attendue — est elle aussi une donnée de l'article 9, et elle est traitée différemment de tout le reste de cette page :

Le vocabulaire est volontairement maigre. Il ne nomme aucun état physiologique, n'enregistre aucune phase, ne prédit rien, et ne vise pas une catégorie d'athlètes en particulier. Ce qu'il dit, c'est que vous vous attendiez à ce qu'une mesure bouge ce jour-là.

4a. Le suivi nutritionnel, et ce que l'éteindre efface

Le suivi nutritionnel est éteint tant que vous ne l'allumez pas, et l'allumer, c'est donner son consentement propre, distinct de celui des données de santé. Il couvre vos repas et ce qu'ils contiennent, votre masse corporelle et vos mensurations, et votre objectif nutritionnel. Ils servent aux plages du jour et au rythme de votre objectif, et à rien qui change votre plan d'entraînement : le plan est décidé exactement comme il le serait sans eux.

5. Les bases légales

Traitement Base
Faire fonctionner votre compte et fournir le plan d'entraînement demandé Contrat — article 6(1)(b)
Données de santé et de récupération : variabilité cardiaque, fréquence cardiaque de repos, sommeil, signalements de douleur, limitations, contraintes dites en mots, retours après séance Consentement explicite — article 9(2)(a), demandé à la création du compte et enregistré contre la version de cette politique
Variation cyclique attendue Consentement explicite distinct — article 9(2)(a). Son retrait efface les données.
Suivi nutritionnel : repas, masse corporelle et mensurations, objectif nutritionnel Consentement explicite distinct — article 9(2)(a), donné en allumant la nutrition. L'éteindre retire le consentement et efface les données.
Envoyer un résumé de votre entraînement au coach IA, et vos réponses pendant l'entretien d'accueil Consentement distinct, demandé avant le premier message — à l'accueil, dans son propre interrupteur, facultatif
Garder le service sûr, et tenir le journal des évènements de sécurité Intérêt légitime — article 6(1)(f). L'intérêt est d'empêcher la prise de contrôle d'un compte ; les enregistrements sont pseudonymes et ne portent aucune valeur de santé.
Recevoir les rapports d'erreur technique Intérêt légitime — article 6(1)(f). Ce qui part est construit à partir d'une liste blanche (section 8) et ne porte ni identifiant de compte, ni message, ni contenu de requête.
Tenir les registres de facturation Obligation légale, et contrat

Retirer un consentement est aussi simple que de le donner. Chacun a un interrupteur dans les réglages de l'application, et l'éteindre prend effet immédiatement — même écran, même nombre de touches. Le consentement aux données de santé fait exception sur un point, et il est dit franchement : le retirer met fin au compte, parce qu'Ovyxa ne sait pas coacher sans lui.

6. Le coach IA

Vous parlez à une intelligence artificielle, et l'application le dit à l'endroit où vous lui écrivez. Le coach IA explique des décisions. Il ne les prend pas. Chaque changement de votre plan est décidé par des moteurs déterministes qui tournent sur nos propres serveurs ; le modèle reçoit la décision et on lui demande de la mettre en mots. Il ne peut ni modifier votre calendrier, ni passer outre une règle de sécurité, ni atteindre la base de données, ni produire un diagnostic. Ce qu'il propose — sauter, déplacer ou alléger une séance — vous est présenté, et rien ne change sans votre accord.

Quand vous l'utilisez, un petit résumé est envoyé à OpenAI, aux États-Unis : votre objectif principal et sa nature, la phase de votre bloc en cours, les séances à venir et le travail récent en forme résumée, le verdict de récupération et ses codes de raison, la dernière décision d'adaptation et ses codes, les familles de vos contraintes durables, et les derniers tours de la conversation — qui contiennent vos mots.

Et seulement quand votre question en a besoin, le coach peut consulter davantage de vos propres données, par des outils que nous avons écrits et qui ne lisent que votre compte : votre plan sur quatre semaines au plus, la journée en cours (verdict, réponses du check-in, séances du jour), le résumé de ce que vous avez fait sur six semaines au plus (séances, minutes, distance, effort ressenti), votre profil (fréquence cardiaque maximale et au seuil, VO2max, allure facile, disponibilités, matériel, prescriptions de musculation) et, si vous avez activé le suivi nutritionnel, ce que vous avez noté sur les trente derniers jours : totaux du jour (kcal, protéines, glucides, lipides, fibres), et le détail des aliments d'un jour à la fois. Ces outils ne peuvent rien écrire. Une question simple n'en appelle aucun, et rien de tout cela ne part tant que le modèle n'en a pas eu besoin pour vous répondre.

Quand vous le lui demandez, le coach peut aussi préparer une carte : noter un repas que vous lui décrivez (ses valeurs sont alors une estimation, marquée comme telle), un poids ou une mensuration, une fréquence cardiaque ou une VO2max que vous lui donnez, un jour où vous ne pouvez pas vous entraîner, ou une séance écrite pour vous à la place d'une séance prévue — dont la durée et l'effort sont calculés par nos propres moteurs, jamais plus dure que celle qu'elle remplace, et refusée sous douleur si elle l'est davantage. Rien n'est enregistré tant que vous ne l'avez pas confirmée, et la confirmation passe par les mêmes contrôles que si vous l'aviez saisie vous-même.

Si votre accueil a laissé des sujets ouverts — vos fréquences cardiaques de référence, ou ce qui encadre durablement votre entraînement, les deux sujets facultatifs que le formulaire ne pose pas —, le coach peut vous proposer de les reprendre : un message dans la conversation, au plus deux fois, la première trois jours au moins après votre accueil, la seconde une semaine après, et seulement si le coach IA est allumé. Nous conservons pour cela la liste de ces sujets (des codes, jamais une réponse), le nombre de propositions faites et, si vous dites non, la date de ce refus. Ce message est écrit par l'application : rien n'est envoyé à OpenAI pour l'écrire, il ne compte pas dans vos questions du jour et ne change rien à votre plan. Si vous choisissez de reprendre, c'est l'entretien d'accueil décrit ci-dessous, limité à ces sujets. « Non merci », ou l'interrupteur des Réglages, arrête ces propositions sans rien effacer.

L'entretien d'accueil. Si vous acceptez le coach IA, c'est lui qui vous accueille, avant même que vous créiez votre compte : il vous pose des questions, une à la fois, sur vos sports, votre objectif, votre volume actuel, vos disponibilités, votre matériel, la durée de vos séances de force, le terrain où vous courez et vos limitations. Vos réponses sont envoyées à OpenAI pour conduire la conversation — y compris avant tout abonnement, et y compris ce que vous choisissez d'y écrire (une douleur, une blessure, le nom de votre course). Nous n'y ajoutons rien : aucune mesure d'Apple Santé, rien de la nutrition, aucun identifiant. Avec vos mots part seulement ce qui a déjà été compris de vos réponses, pour que la même question ne vous soit pas reposée. Rien n'est enregistré avant que vous ayez relu et confirmé le récapitulatif ; ce que vous confirmez est alors enregistré comme si vous l'aviez saisi dans le formulaire. La conversation d'accueil n'est pas conservée par Ovyxa : elle reste sur votre téléphone jusqu'à la confirmation, puis est effacée ; le serveur n'en garde que des compteurs (nombre d'entretiens, de tours et de jetons, section 7). L'accepter est facultatif : sans lui, vous répondez au formulaire et vous recevez le même plan — seule la conversation manque.

Avant votre compte : la session d'accueil. Pour que le coach puisse vous parler avant que vous ayez un compte, l'application ouvre une session d'accueil de 24 heures. Elle n'est ouverte qu'à une application Ovyxa authentique sur un iPhone authentique : Apple le prouve par App Attest, une clé propre à l'application sur votre téléphone. Nous conservons alors, sans votre nom ni aucun identifiant Apple : l'empreinte de cette clé et sa partie publique, une empreinte de la session (jamais la session elle-même, qui reste dans le trousseau de votre téléphone), un pseudonyme du jour de votre adresse IP, vos trois accords (âge, données de santé, coach IA) avec leur date et leur version, et les compteurs de l'entretien. Quand vous créez votre compte à la fin, vos accords y sont rattachés à leur date d'origine, ainsi que les compteurs, et la session se ferme. Si vous ne créez pas de compte, tout est supprimé au plus tard 48 heures après l'ouverture ; l'empreinte de la clé, qui sert seulement à limiter le nombre d'entretiens par appareil et à empêcher qu'on lance des conversations en masse à nos frais, est supprimée 180 jours après sa dernière utilisation (section 7). Cette limitation repose sur notre intérêt légitime à prévenir la fraude (article 6(1)(f)) ; la conversation, elle, repose sur votre consentement. Si votre téléphone ne peut pas fournir cette preuve, le coach vous accueille après la création du compte.

Ce qui n'est jamais envoyé : votre nom, votre email, votre identifiant Apple, les échantillons bruts d'Apple Santé — variabilité de la fréquence cardiaque, fréquence cardiaque au repos, sommeil —, le nom ou le lieu d'une compétition, la phrase exacte d'une contrainte durable, vos notes de contexte du jour, vos mesures corporelles, et le contenu de la base. Rien n'est envoyé du tout si vous n'avez pas allumé le coach IA. OpenAI n'utilise pas ce qui lui est envoyé pour entraîner ses modèles.

7. Combien de temps chaque chose est gardée

Ce tableau est vérifié par une porte automatique contre le catalogue de conservation qu'applique la purge nocturne : une durée publiée ici qui cesserait d'être celle du code fait échouer la construction. Il est exhaustif — chaque table de la base y figure, sauf quatre qui ne portent aucune donnée personnelle (le catalogue d'exercices, la liste des fournisseurs connectables, le journal de la purge et sa comptabilité interne).

Donnée Gardée Pourquoi cette durée
Mesures de récupération lues dans Apple Santé 500 jours Le bloc de seize semaines de l'an dernier se trouve entre 400 et 490 jours en arrière : 400 jours garderaient le jour de la course et supprimeraient la préparation qui l'a produit.
Check-in du matin, y compris le signalement de douleur 500 jours Une observation de récupération, pas un historique d'entraînement. Une douleur qui revient et qui compte doit devenir une limitation déclarée, qui vit avec le compte.
Verdict de récupération calculé, et ses codes de raison 180 jours Un calcul, pas une mesure : il est reproductible depuis ses entrées tant qu'elles existent.
Notes de contexte du jour 60 jours Elles n'expliquent qu'une mesure récente. Passé la fenêtre que le moteur lit, plus rien ne les consulte. Retirer le consentement les supprime avant l'échéance.
Repas, aliments notés, jours marqués complets 500 jours Pour qu'une saison se compare à la précédente. Éteindre la nutrition les supprime immédiatement.
Exceptions ponctuelles de disponibilité 500 jours Une date passée n'ouvre plus rien ; elle explique une semaine passée.
Blocs d'entraînement clos 500 jours La même fenêtre que les mesures qu'ils expliquent.
Conversation avec le coach IA 14 jours Seuls les derniers tours servent à répondre au suivant. Au-delà, la conversation n'est plus lue par rien, donc elle est supprimée — y compris vos propres messages.
Cartes préparées par le coach IA 14 jours Un repas que vous lui avez décrit, un poids ou une fréquence cardiaque que vous lui avez donnés, un jour où vous ne pouvez pas vous entraîner : rien n'est enregistré tant que vous n'avez pas confirmé la carte, qui expire après 48 heures. Confirmée, la donnée vit dans sa propre catégorie ; la carte suit la conversation dont elle vient.
Journal des évènements de sécurité 395 jours Un cycle annuel de revue plus un mois. Ce journal est pseudonyme et survit à la suppression du compte : une piste d'audit qu'une suppression pourrait effacer n'en serait pas une.
Le plan et son histoire : séances réalisées, retours, séances déclarées manquées, prescriptions de force, révisions du calendrier, lignées de séances, décisions d'adaptation, objectifs et compétitions Toute la vie du compte C'est votre historique d'entraînement, et la piste qui permet d'expliquer un changement. Le supprimer plus tôt casserait la progression sur laquelle le coach est bâti.
Votre profil : allures et ancrages d'intensité, limitations, matériel, contraintes dites en mots, références par sport, disponibilité hebdomadaire, modèle de semaine, programme que vous avez confirmé avec le coach, repères de force (ce que vous savez faire sur un exercice), zones Toute la vie du compte Ce sont les faits durables sur lesquels chaque plan est construit. Vous pouvez en retirer un à tout moment dans l'application.
Objectif nutritionnel, plats enregistrés, masse corporelle et mensurations Toute la vie du compte Tant que la nutrition est allumée. L'éteindre les supprime, comme le reste de la section 4a.
Compte, identité Apple, registre des consentements, droit d'accès, évènements de facturation, et compteurs du coach (questions du jour, entretien d'accueil, et, pour la reprise de l'accueil, la liste des sujets restés ouverts, le nombre de propositions et un refus éventuel) Toute la vie du compte Le registre des consentements est ce qui prouve ce que vous avez accepté et quand ; les évènements de facturation répondent à une obligation comptable. Les compteurs ne contiennent que des nombres, jamais ce qui a été dit.
Connexions à un service tiers, et leurs jetons chiffrés Toute la vie du compte Jusqu'à ce que vous déconnectiez le service, ce qui révoque le jeton et le supprime.
Sessions de connexion et jetons de rafraîchissement (leur empreinte seule) 30 jours après expiration ou révocation Le délai pendant lequel la réutilisation d'un vieux jeton doit encore pouvoir être détectée comme un vol.
Session d'accueil : empreinte de la session, pseudonyme du jour de l'adresse IP, accords et compteurs de l'entretien 1 jour après expiration (48 heures au plus) Elle vaut 24 heures. Si vous créez votre compte, vos accords et les compteurs y sont rattachés avant qu'elle ne soit supprimée.
Empreinte et clé publique App Attest de l'application sur votre téléphone 180 jours après la dernière utilisation Elle limite les entretiens par appareil, y compris après la suppression d'un compte ; au-delà, rien ne la lit.
Défis de connexion Apple 1 jour après expiration Ils valent quelques minutes ; le reste est une marge d'horloge.
États de connexion OAuth vers un service tiers 1 jour après expiration La même raison : un jeton anti-rejeu qui vaut le temps d'une redirection.
Propositions de changement de plan restées sans réponse 30 jours après expiration Une proposition que vous n'avez pas tranchée finit par ne plus rien proposer.
Définitions de séance que plus rien ne nomme 30 jours après la dernière référence Une séance qu'aucune version du calendrier, aucune lignée et aucune proposition ne désigne plus.
Clés d'idempotence des requêtes 30 jours Ce qui empêche qu'un envoi répété compte deux fois ; au-delà, la répétition n'arrive plus.
Évènements reçus d'un service tiers connecté 30 jours La fenêtre pendant laquelle un évènement en double doit encore être reconnu.
File des travaux de fond 14 jours De quoi diagnostiquer un travail qui a échoué, et rien de plus.
Révocation d'un jeton Apple restée en attente Aucune purge automatique Aucun minuteur ne peut l'enlever : une ligne encore là après 30 jours fait échouer la passe nocturne jusqu'à ce qu'un humain la ferme. Un credential qu'on n'a pas su révoquer ne doit pas disparaître en silence.
Exécutions des travaux planifiés Aucune purge automatique Le registre d'exploitation qui dit qu'une sauvegarde et une purge ont bien tourné. Il part avec le compte à l'effacement.
Sauvegardes chiffrées 38 jours au plus Un effacement vous retire de la base vivante ; les copies de sauvegarde disparaissent d'elles-mêmes dans cette fenêtre et ne sont jamais restaurées sélectivement. Une restauration réapplique les effacements prononcés depuis.

La suppression d'un compte n'est pas instantanée, et c'est voulu. Une demande de suppression ouvre une fenêtre de 7 jours pendant laquelle vous pouvez l'annuler en vous reconnectant ; à son terme, un travail nocturne efface le compte et tout ce qui est rattaché. L'application vous annonce la date. Ce qui survit est dit ci-dessus : le journal de sécurité, pseudonyme et sans votre compte.

8. Qui d'autre traite vos données

Vos données ne sont jamais vendues, et jamais partagées pour le marketing de quiconque.

Sous-traitant Ce qu'il reçoit Où
OVHcloud L'hébergement de tout — la base de données, l'API et les sauvegardes. C'est le seul sous-traitant qui détient l'ensemble. Gravelines, France (UE)
Apple « Se connecter avec Apple », et les achats sur l'App Store. Apple ne reçoit de nous ni vos données d'entraînement ni vos données de santé. UE / États-Unis
RevenueCat Un identifiant pseudonyme et l'état de l'abonnement, rien d'autre. Aucune donnée de santé, aucune donnée d'entraînement. États-Unis
OpenAI — le contrat est conclu avec OpenAI Ireland Ltd (Dublin), le traitement a lieu aux États-Unis Uniquement le résumé décrit à la section 6, et seulement si vous avez allumé le coach IA. Il n'est pas utilisé pour entraîner des modèles. États-Unis
Sentry Les rapports d'erreur technique du serveur, construits à partir d'une liste blanche : la classe de l'erreur, son code en majuscules, une empreinte du message, des cadres de pile validés, le motif de route, un code de statut et l'identifiant de la requête. Aucun champ n'existe pour un message, un en-tête, un corps de requête, un fil d'Ariane ou un identifiant d'utilisateur — même pseudonyme. Francfort, Allemagne (UE)
healthchecks.io La surveillance des travaux nocturnes : le nom du travail, son code de sortie et les dernières lignes de sa sortie — qui sont des comptes et jamais un identifiant (« un compte effacé : 412 lignes », jamais lequel). Aucune donnée personnelle. Riga, Lettonie (UE)
Open Food Facts Un code-barres et l'adresse IP de votre téléphone, envoyés par l'application depuis votre téléphone quand vous scannez un produit, et jamais par Ovyxa. Open Food Facts est une base ouverte (ODbL) ; il ne reçoit aucun identifiant Ovyxa et rien de ce que vous avez mangé. France (UE)

Les transferts hors de l'Union européenne. OpenAI et RevenueCat sont établis aux États-Unis. Ces transferts s'appuient sur les garanties de l'article 46 du RGPD — clauses contractuelles types ou certification au Data Privacy Framework — et le registre des sous-traitants tenu à jour nomme, pour chacun, la garantie applicable. Le coach IA est celui des deux qui peut porter vos mots : refusez-le et rien ne part chez OpenAI.

Il n'y a aucune régie publicitaire, aucun SDK de pistage, aucun fournisseur d'analytique produit et aucun rapporteur de plantage tiers recevant des valeurs de santé. C'est une contrainte de conception, pas une configuration du moment.

9. Ce qui n'est jamais fait

10. Vos droits, et comment les exercer

Le RGPD vous donne un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, et le droit de retirer un consentement à tout moment sans remettre en cause ce qui était licite avant le retrait.

Dans l'application

Par email

Tout ce qui précède, plus la rectification, la limitation et l'opposition : contact@ovyxa.com. Nous répondons dans le mois, comme le RGPD l'exige, et en général bien plus vite.

11. Comment les données sont protégées

12. Les mineurs

Ovyxa s'adresse à des adultes. Il ne vise pas les enfants, et il faut avoir 16 ans ou plus pour l'utiliser.

Votre date de naissance n'est jamais demandée. À la création du compte, l'application vous demande de confirmer que vous avez 16 ans ou plus, et enregistre deux choses : que vous l'avez confirmé, et l'instant où vous l'avez fait. C'est tout l'enregistrement. Une date de naissance répondrait à la même question par oui ou par non en laissant dans la base un identifiant permanent que rien d'autre ici ne lirait jamais — donc elle n'est pas collectée, pour la même raison que la section 3 donne en refusant le type « date de naissance » d'Apple Santé.

Vous pouvez aussi donner une année de naissance, et c'est un autre enregistrement, avec une autre finalité : il est facultatif, il n'existe que pour estimer une fréquence cardiaque maximale (section 2a), et il ne remplace pas la confirmation ni ne s'en déduit. Une année porte environ un trois-cent-soixante-cinquième du pouvoir d'identification d'une date, et une date complète n'achèterait au plus que 0,7 bpm de précision face à une formule dont l'erreur propre est de 7 à 11 bpm — c'est pourquoi la date n'est toujours pas demandée.

La confirmation est un fait de compte. Elle n'est pas envoyée au moteur de coaching, ne sert pas à personnaliser l'entraînement, et est effacée avec le reste de votre compte. Si vous pensez qu'un enfant a un compte, écrivez à contact@ovyxa.com et il sera effacé.

13. Les modifications de cette politique

Cette politique porte une version, affichée en haut de la page. Votre consentement est enregistré contre la version en vigueur au moment où vous l'avez donné.

Une nouvelle version n'élargit jamais en silence ce que vous avez déjà accepté. Quand la version des données de santé change, l'accord que vous avez déjà donné continue d'autoriser exactement la collecte pour laquelle il a été donné — vous le retirer serait un tort en soi — mais il ne s'étend pas à ce que la nouvelle version ajoute. Tout ce qui est nouveau est refusé, par le serveur autant que par l'application, tant que vous n'avez pas accepté à la version courante, et l'application sait vous dire que ce que vous avez accepté est une version antérieure.

Les quatre consentements, et la version de chacun

Ovyxa demande quatre accords séparés, pas un seul. Chacun est versionné pour lui-même, chacun peut être refusé ou retiré sans toucher aux autres, et la version contre laquelle votre réponse est enregistrée est l'une de celles-ci :

Consentement Version en vigueur Ce qu'accepter autorise
Données de santé 2026-10-01 Tout ce qu'Ovyxa détient au sujet de votre corps : ce que vous dites au check-in du matin, douleur comprise ; la difficulté d'une séance et votre ressenti après elle ; toute blessure ou limitation que vous déclarez ; les phrases de vos contraintes durables ; et, si vous connectez Apple Santé, la variabilité cardiaque, la fréquence cardiaque de repos, la durée de sommeil, le résumé de vos séances et les ancrages d'intensité des sections 2 et 2a. Ovyxa ne peut pas coacher sans cela, donc il est nécessaire pour utiliser l'application ; le reprendre supprime votre compte. Sections 2, 2a, 3 et 4.
Suivi nutritionnel 2026-09-21 Conserver ce que vous notez avoir mangé. Le retirer efface ce qui a été noté, il ne se contente pas d'arrêter de le lire. Section 4a.
Variation cyclique attendue 2026-09-21 Conserver cette note de contexte, qui est une donnée de l'article 9. Le retirer supprime les notes enregistrées. Section 4.
Le coach IA 2026-09-25 Envoyer à OpenAI, aux États-Unis, vos réponses pendant l'entretien d'accueil, le petit résumé décrit à la section 6 et ce que ses outils consultent quand une question en a besoin. Le refuser ne change rien au reste de l'application : l'accueil passe alors par le formulaire. Section 6.

Une version est une date parce que c'est le jour où le document qu'elle nomme est entré en vigueur — cette page, à cette version. Ce n'est pas un numéro de livraison, et elle ne bouge pas quand l'application change.

Historique des versions

Aucun athlète n'a jamais donné son consentement contre une version antérieure au 21 septembre 2026 : le service n'était pas ouvert. Les textes antérieurs sont archivés dans le dépôt du produit, sous docs/compliance/policy-archive/.