Informations légales

Responsable du traitement et délégué à la protection des données

Au sens de l'article 4 point 7 du RGPD, le responsable du traitement des données personnelles collectées dans le cadre du Service est l'éditeur identifié à la rubrique « Mentions ». Le responsable du traitement détermine seul les finalités et les moyens du traitement et répond des obligations imposées par le RGPD et la loi Informatique et Libertés. Compte tenu de la taille de la structure et de la nature des traitements réalisés, la désignation d'un délégué à la protection des données (DPO) n'est pas légalement obligatoire au sens de l'article 37 du RGPD. Toutefois, un point de contact unique pour toute question relative aux données personnelles est mis à disposition : contact@runexpert.fr. Toute demande d'exercice de droits prévus aux articles 15 à 22 du RGPD est traitée dans le délai d'un mois prévu à l'article 12.3 du RGPD, prorogeable de deux mois en cas de complexité ou de multiplicité des demandes.

Données personnelles collectées

L'éditeur collecte et traite les catégories de données suivantes, dans le respect du principe de minimisation prévu à l'article 5.1.c du RGPD :

Aucune donnée bancaire n'est collectée par l'éditeur : les paiements sont traités exclusivement par Apple ou Google, qui agissent en tant que responsables de traitement autonomes pour cette finalité. L'éditeur ne collecte ni le carnet d'adresses, ni les photos hors profil, ni le microphone, ni les contacts.

Finalités et bases légales du traitement

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale identifiée :

• Exécution du contrat de service (art. 6.1.b) — création et gestion du compte utilisateur, fourniture des fonctionnalités sportives, gestion des abonnements, support utilisateur.
• Consentement explicite (art. 6.1.a et art. 7) — affichage de publicités personnalisées (IDFA/GAID), publication du VO2max sur le classement public, envoi de notifications de retour foreground non strictement nécessaires.
• Obligation légale (art. 6.1.c) — conservation des justificatifs de transaction pour la durée légale comptable (article L123-22 du Code de commerce — dix ans), conservation des logs nécessaires à la lutte contre la fraude.
• Intérêt légitime (art. 6.1.f) — sécurité du Service, prévention des abus, amélioration de la stabilité, statistiques d'usage anonymisées. Une mise en balance documentée a été réalisée afin de garantir que cet intérêt légitime ne porte pas atteinte de manière disproportionnée aux droits des personnes concernées.

L'utilisateur peut, à tout moment et sans frais, retirer un consentement précédemment accordé conformément à l'article 7.3 du RGPD. Le retrait du consentement n'a pas d'effet rétroactif sur la licéité des traitements effectués antérieurement.

VO2max et catégories particulières de données (RGPD art. 9)

La VO2max calculée par le Service est un indicateur de santé indirect estimé à partir des performances aux tests sportifs réalisés par l'utilisateur. Bien qu'elle ne constitue pas une donnée médicale au sens strict — elle n'est ni mesurée en laboratoire ni établie par un professionnel de santé — l'éditeur traite cette donnée avec une vigilance renforcée correspondant à la qualification de « donnée concernant la santé » au sens de l'article 4 point 15 du RGPD, qui relève des catégories particulières de données protégées par l'article 9 du RGPD. Le traitement de cette donnée repose exclusivement sur le consentement explicite de la personne concernée (article 9.2.a du RGPD), recueilli :

• de façon implicite et limitée pour le calcul et l'affichage local sur l'appareil de l'utilisateur (finalité personnelle, non communiquée à des tiers) ;
• de façon explicite et révocable pour la publication sur le classement communautaire, par opt-in dédié activable et désactivable à tout moment dans les paramètres de l'application.

Tant que l'opt-in n'est pas activé, la VO2max reste strictement confinée à l'appareil et n'est jamais transmise aux serveurs de l'éditeur ni à des tiers. La désactivation de l'opt-in entraîne le retrait immédiat de la VO2max du classement public et la suppression des copies serveur associées, conformément aux articles 7.3 et 17 du RGPD. Aucun croisement avec d'autres sources de données de santé externes (Apple Health, Google Fit, fournisseur d'assurance, etc.) n'est réalisé par l'éditeur ; les éventuelles intégrations futures feront l'objet d'une mise à jour préalable de la présente politique et d'un recueil de consentement spécifique.

Sous-traitants et destinataires des données

Conformément à l'article 28 du RGPD, l'éditeur fait appel aux sous-traitants suivants, tous liés par un contrat de sous-traitance (DPA) précisant les obligations en matière de protection des données :

Aucun sous-traitant n'est autorisé à utiliser les données pour ses propres finalités ou à les revendre. Les éventuelles obligations légales étrangères pesant sur les sous-traitants situés hors Union européenne (notamment dans le cadre du Cloud Act américain) sont encadrées par les Clauses Contractuelles Types (SCC) adoptées par la Commission européenne le 4 juin 2021 (décision d'exécution (UE) 2021/914) et par les mesures techniques complémentaires recommandées par le CEPD dans ses recommandations 01/2020 sur les transferts internationaux. La liste actualisée des sous-traitants est tenue à jour et peut être communiquée sur demande écrite motivée.

Transferts internationaux de données

Certains sous-traitants techniques étant établis hors de l'Espace économique européen, des transferts de données personnelles vers des pays tiers peuvent intervenir, principalement vers les États-Unis. Ces transferts sont encadrés par les garanties appropriées suivantes :

• Clauses Contractuelles Types (SCC) de la Commission européenne (décision (UE) 2021/914), intégrées aux contrats de sous-traitance ;
• Pour les transferts vers les États-Unis, lorsque le sous-traitant y est certifié, le Data Privacy Framework (DPF) approuvé par la décision d'adéquation (UE) 2023/1795 du 10 juillet 2023 ;
• Mesures techniques complémentaires : chiffrement en transit (TLS 1.3), chiffrement au repos, journalisation des accès, contrôle d'accès strict par rôle.

L'utilisateur est informé qu'aucun pays tiers ne saurait garantir un niveau de protection des données strictement équivalent à celui du droit de l'Union européenne ; en particulier, les autorités publiques des États-Unis disposent, dans certaines conditions, de pouvoirs d'accès aux données détenues par les fournisseurs américains dans le cadre de la législation FISA 702 et de l'Executive Order 12333. Ces risques sont pris en compte dans l'analyse d'impact et les mesures techniques mises en œuvre par l'éditeur.

Durées de conservation des données

Conformément à l'article 5.1.e du RGPD (principe de limitation de la conservation), les durées de conservation suivantes sont appliquées :

À l'issue de ces durées, les données sont soit anonymisées de manière irréversible (afin de pouvoir servir à des statistiques globales sans permettre la ré-identification d'une personne), soit définitivement supprimées des bases actives et des sauvegardes dans un délai maximal de trente (30) jours.

Vos droits sur vos données personnelles

Conformément aux articles 15 à 22 du RGPD, vous disposez sur vos données personnelles des droits suivants :

• Droit d'accès (art. 15) — obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie ;
• Droit de rectification (art. 16) — faire corriger des données inexactes ou compléter des données incomplètes ;
• Droit à l'effacement / « droit à l'oubli » (art. 17) — obtenir l'effacement de vos données dans les cas prévus par la loi ;
• Droit à la limitation du traitement (art. 18) — geler temporairement un traitement contesté ;
• Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement ;
• Droit d'opposition (art. 21) — vous opposer à un traitement reposant sur l'intérêt légitime ou à la prospection commerciale ;
• Droit de ne pas faire l'objet d'une décision automatisée (art. 22) — sans objet à ce jour pour le Service ;
• Droit de retirer un consentement (art. 7.3) — à tout moment et sans justification ;
• Droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77) — en France, auprès de la CNIL.

Toute demande d'exercice de droits peut être adressée par e-mail à contact@runexpert.fr. L'éditeur s'engage à répondre dans le délai d'un mois prévu par l'article 12.3 du RGPD, ce délai pouvant être prorogé de deux mois en cas de complexité ou de multiplicité de demandes. Une réponse motivée sera apportée en cas de refus de donner suite à une demande.

Suppression de votre compte Run Expert

Conformément à votre droit à l'effacement (article 17 du RGPD), vous pouvez à tout moment demander la suppression définitive de votre compte Run Expert et de toutes les données associées. La suppression peut être déclenchée directement depuis l'application (onglet Profil → bouton Mon compte → section Paramètres du compte → « Supprimer mon compte ») ou, à défaut d'accès à l'application, par e-mail envoyé depuis l'adresse associée au compte à contact@runexpert.fr. La suppression in-app est immédiate et irréversible : votre compte ainsi que l'ensemble des données associées (profil, sessions, publications, commentaires, classements) sont effacés des bases actives en quelques secondes par l'Edge Function dédiée. Les sauvegardes automatiques contenant éventuellement d'anciennes copies sont écrasées dans un délai maximal de trente (30) jours. Seules les données soumises à une obligation légale de conservation (justificatifs de transactions, durée 10 ans) sont conservées sous forme pseudonymisée. Les abonnements actifs gérés par Apple ou Google ne sont pas annulés par la suppression du compte Run Expert : il vous appartient de les résilier séparément depuis les paramètres de votre compte App Store ou Play Store.

Publicité, ciblage et Google AdMob

La version gratuite du Service intègre la régie publicitaire Google AdMob opérée par Google LLC. Trois formats publicitaires sont susceptibles d'apparaître : bannières classiques, interstitiels affichés entre deux activités, et formats natifs intégrés au fil d'actualité de la communauté. Avant la première impression publicitaire pour un utilisateur situé dans l'Espace économique européen, au Royaume-Uni ou en Suisse, un formulaire de consentement géré par le User Messaging Platform (UMP) de Google est affiché, conformément au Règlement Google relatif au consentement de l'utilisateur dans l'UE et au cadre IAB Transparency & Consent Framework v2.2. Ce formulaire propose trois choix au même niveau d'accessibilité : « Consentir », « Refuser tout » et « Gérer les options », conformément aux lignes directrices de la CNIL du 17 septembre 2020 sur les cookies et autres traceurs. En l'absence de consentement, seules des publicités non personnalisées (NPA, Non-Personalized Ads) contextuelles sont diffusées ; aucun identifiant publicitaire n'est lu. En cas de consentement, l'IDFA (iOS) ou le GAID (Android) peut être collecté par Google et ses partenaires de la liste des vendors IAB pour la diffusion d'annonces pertinentes. L'utilisateur peut à tout moment modifier ses choix RGPD en accédant à l'option « Gérer mes choix de confidentialité » dans le menu de l'application. Les utilisateurs Premium ne voient aucune publicité et aucun identifiant publicitaire les concernant n'est collecté.

Cookies, traceurs et technologies similaires

Le site web runexpert.fr n'utilise aucun cookie de traçage ni de mesure d'audience. Seuls des cookies strictement nécessaires à la navigation peuvent être posés par l'hébergeur Vercel (équilibrage de charge, anti-bot), conformément à l'article 82 II de la loi Informatique et Libertés transposant la directive 2002/58/CE dite « ePrivacy » : ces cookies ne nécessitent pas de consentement préalable car ils ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique. Aucun cookie publicitaire, statistique ou de réseaux sociaux n'est posé sur le site. L'application mobile n'utilise pas de cookies au sens classique : elle peut stocker localement des préférences utilisateur et des jetons d'authentification dans le stockage sécurisé du système d'exploitation (Keychain iOS, Keystore Android), ce qui ne relève pas de l'article 82 LIL mais du droit commun de la protection des données.

Violations de données personnelles

Conformément aux articles 33 et 34 du RGPD, en cas de violation de données à caractère personnel, l'éditeur s'engage à notifier la violation à l'autorité de contrôle compétente (la CNIL en France) dans les meilleurs délais et, si possible, soixante-douze (72) heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées sont notifiées dans les meilleurs délais selon les modalités prévues à l'article 34. Une procédure interne de gestion des incidents est documentée par l'éditeur. La détection des incidents repose sur le contrôle d'accès, la journalisation des actions sensibles et l'analyse régulière des journaux par le responsable du traitement. Tout utilisateur ayant connaissance d'une faille ou d'un incident est invité à le signaler à contact@runexpert.fr ; un accusé de réception sera transmis sous quarante-huit (48) heures ouvrées.

Éditeur du site et de l'application

Conformément à l'article 6 III 1 de la Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN), l'identification de l'éditeur du présent site et de l'application mobile Run Expert est la suivante : Nom commercial : E-3P. Identité de l'éditeur : Guillaume POUPPA-BEJUY, entrepreneur individuel, exerçant sous le nom commercial E-3P. Forme juridique : Entreprise individuelle — régime fiscal de la micro-entreprise. SIRET : 432 873 131 00077. SIREN : 432 873 131. Inscription au Registre National des Entreprises (RNE) tenu par l'INSEE depuis le 30 avril 2026. Entreprise individuelle non immatriculée au Registre du Commerce et des Sociétés (RCS) ; immatriculée exclusivement au Registre National des Entreprises (RNE) tenu par l'INSEE. Code APE/NAF : 6201Z — Programmation informatique. Adresse du siège : 3 Bis Avenue Moulins lez Metz, 69630 Chaponost, France. Directeur de la publication au sens de l'article 93-2 de la loi du 29 juillet 1982 sur la communication audiovisuelle : Guillaume POUPPA-BEJUY. Contact support, exercice des droits RGPD (article 15 et suivants du Règlement (UE) 2016/679), demandes de droit à l'image, contact du délégué à la protection des données et signalements DSA : contact@runexpert.fr. Téléphone : communiqué sur demande motivée par e-mail pour des raisons de sécurité — limitation du démarchage abusif au sens de la loi n° 2020-901 du 24 juillet 2020. Régime fiscal : non applicable — franchise en base de TVA, article 293 B du Code général des impôts ; TVA non applicable. Conformité RGPD : le registre interne des activités de traitement (article 30 du RGPD) ainsi que l'analyse d'impact relative à la protection des données (article 35 du RGPD), le cas échéant, sont tenus à jour et communicables sur demande motivée à l'adresse de contact indiquée ci-dessus. Informations légales publiques accessibles sur data.inpi.fr/entreprises/432873131.

Hébergement, distribution et prestataires techniques

L'application mobile Run Expert est distribuée sous forme de logiciel sur les plateformes de distribution d'applications mobiles suivantes : Apple Inc., One Apple Park Way, Cupertino, CA 95014, États-Unis (www.apple.com), pour les terminaux iOS ; et Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis (play.google.com), pour les terminaux Android. Le site web runexpert.fr est hébergé par Vercel Inc., 340 Pine Street, Suite 701, San Francisco, CA 94104, États-Unis (vercel.com), prestataire d'hébergement au sens de l'article 6 I 2 de la LCEN. Les services d'authentification, de base de données et de fonctions serverless du Service sont assurés par Supabase Inc. (région UE — Francfort, Allemagne). La gestion des abonnements In-App est assurée par RevenueCat Inc. La diffusion publicitaire dans la version gratuite est assurée par Google LLC via la régie AdMob, soumise au consentement préalable de l'utilisateur conformément au cadre IAB TCF v2.2 et au Règlement Google relatif au consentement de l'utilisateur dans l'UE. La liste complète des sous-traitants et destinataires de données personnelles, ainsi que leur localisation et les garanties applicables aux transferts internationaux (Clauses Contractuelles Types de la Commission européenne), est précisée à la rubrique « Données ».

Propriété intellectuelle et droits d'auteur

L'ensemble des éléments constituant le Service Run Expert — code source, interface graphique, logo, marque, slogan, charte graphique, animations, textes éditoriaux, contenus pédagogiques, algorithmes de calcul des indicateurs sportifs et toute base de données associée — est protégé par le Code de la propriété intellectuelle, et notamment ses articles L111-1 et suivants (droit d'auteur), L341-1 et suivants (protection sui generis des bases de données) et L713-1 et suivants (droit des marques). L'ensemble de ces éléments est la propriété exclusive de l'éditeur, à l'exception : (i) des bibliothèques logicielles tierces sous licence open source dont la liste et les licences applicables sont communicables sur demande à contact@runexpert.fr ; (ii) des contenus mis en ligne par les utilisateurs eux-mêmes dans l'espace communautaire, dont ils conservent la propriété tout en concédant à l'éditeur une licence non exclusive, gratuite, mondiale, pour la durée des droits, aux seules fins de l'exploitation fonctionnelle du Service. Toute reproduction, représentation, modification, publication ou adaptation totale ou partielle du Service, par quelque moyen que ce soit, est interdite sans autorisation écrite préalable de l'éditeur, sous peine de constituer un délit de contrefaçon sanctionné par les articles L335-2 et suivants du Code de la propriété intellectuelle.

Marques tierces — usage informatif

Les marques, noms commerciaux, logos et signes distinctifs de tiers mentionnés dans le Service ou la documentation associée (notamment Apple, App Store, iOS, iPhone, MacOS, Google, Android, Google Play, AdMob, Spotify, Deezer, Apple Music, Vercel, Supabase, RevenueCat, Expo, RGPD, IAB TCF, etc.) demeurent la propriété exclusive de leurs détenteurs respectifs et sont protégés à ce titre. Leur mention dans le Service relève de l'usage informatif ou nominatif au sens des articles L713-6 du Code de la propriété intellectuelle et 14 du Règlement (UE) 2017/1001 sur la marque de l'Union européenne, lorsqu'elle est strictement nécessaire pour décrire les fonctionnalités du Service (compatibilité, distribution, sous-traitance technique). Aucune mention de ces marques ne saurait être interprétée comme un partenariat commercial, un parrainage, une recommandation ou une affiliation officielle, sauf mention explicite et contraire dans le Service.

Droit applicable et tribunaux compétents

Les présentes mentions légales et l'ensemble des relations contractuelles entre l'éditeur et l'utilisateur sont régies par le droit français, sans préjudice de l'application des règles impératives du droit de la consommation du pays de résidence de l'utilisateur consommateur, conformément à l'article 6 du Règlement (CE) n° 593/2008 « Rome I ». Tout litige relatif à l'interprétation ou à l'exécution des présentes sera, à défaut de résolution amiable et après recours éventuel à la médiation de la consommation (voir rubrique CGU), soumis aux tribunaux français compétents, conformément aux règles de compétence territoriale de l'article R631-3 du Code de la consommation pour le consommateur, et aux règles de droit commun pour les professionnels.

Esprit Run Expert

La communauté Run Expert rassemble des coureurs de tous niveaux qui partagent leur passion, leurs progrès et leurs conseils dans un esprit de respect, d'entraide et de bienveillance. Les présentes règles s'appliquent à toutes les interactions au sein de l'application : publications dans le fil d'actualité, commentaires, classements, défis collectifs, partages de courses GPS et toute autre fonctionnalité communautaire présente ou à venir. Elles complètent les CGU et la politique de confidentialité et ne sauraient s'y substituer. Elles s'appliquent à tous les utilisateurs disposant d'un compte, quel que soit le statut (gratuit, essai gratuit, Premium). En participant à la communauté, l'utilisateur reconnaît avoir pris connaissance de ces règles et s'engage à les respecter.

Comportements encouragés

La communauté Run Expert favorise et valorise notamment :

• le partage de performances sportives personnelles, de photos de course, de parcours GPS et de résultats de tests physiques ;
• l'expression bienveillante d'encouragements, de félicitations et de soutien aux autres utilisateurs ;
• le partage de conseils d'entraînement, de récupération ou de nutrition fondés sur l'expérience personnelle, avec un esprit pédagogique et non prescriptif ;
• le signalement de contenus inappropriés via le bouton « Signaler » présent sur chaque publication ;
• le blocage d'utilisateurs dont l'on ne souhaite plus voir apparaître les publications, en utilisant la fonctionnalité « Bloquer » accessible depuis chaque profil ou publication ;
• la participation aux défis hebdomadaires et mensuels organisés par l'éditeur ou par d'autres membres de la communauté dans le cadre des fonctionnalités prévues à cet effet.

Comportements strictement interdits

Sont strictement interdits sur l'ensemble des espaces communautaires du Service, conformément au droit français applicable et au Règlement (UE) 2022/2065 (DSA) :

• tout contenu à caractère diffamatoire, injurieux ou outrageant au sens de la loi du 29 juillet 1881 sur la liberté de la presse ;
• tout contenu raciste, antisémite, xénophobe, sexiste, homophobe, transphobe ou incitant à la discrimination, à la haine ou à la violence à raison de l'origine, de la race, du sexe, de l'orientation sexuelle, de l'identité de genre, du handicap, de l'âge ou de la religion (articles 24 et 32 de la loi de 1881) ;
• le harcèlement moral ou sexuel en ligne, le cyber-harcèlement, le doxxing ou la divulgation d'informations personnelles sans le consentement de la personne concernée (article 222-33-2-2 du Code pénal) ;
• la publication de contenus à caractère pornographique, sexuel explicite ou impliquant des mineurs dans des situations inadaptées ;
• la publication d'images de tiers identifiables sans leur consentement écrit (atteinte au droit à l'image fondé sur l'article 9 du Code civil) ;
• la promotion de produits dopants, de substances illicites, d'alcool en excès, du tabac, ou de toute pratique mettant en danger la santé d'autrui (article L232-9 du Code du sport, articles L3323-1 et suivants du Code de la santé publique) ;
• la falsification de performances sportives, l'usurpation d'identité, la création de faux comptes ou la manipulation des classements communautaires ;
• la publicité, le démarchage commercial ou les liens d'affiliation non sollicités ;
• les contenus relevant de la propagande terroriste, de l'apologie de crimes contre l'humanité ou du négationnisme (loi Gayssot du 13 juillet 1990, loi du 17 juin 2024 contre la haine en ligne) ;
• tout contenu enfreignant la propriété intellectuelle de tiers (musiques non libres de droits, captures d'écran de logiciels protégés, etc.).

Modération des contenus — Digital Services Act

Conformément au Règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques (Digital Services Act, DSA), entré en application générale le 17 février 2024, l'éditeur s'engage à mettre en œuvre une politique de modération des contenus communautaires fondée sur les principes suivants :

• Transparence (art. 14 DSA) — les présentes règles sont publiquement accessibles et formulées de manière claire et compréhensible ;
• Mécanisme de notification (art. 16 DSA) — un dispositif accessible à toute personne, y compris non utilisatrice, permet de signaler tout contenu manifestement illicite ;
• Décisions motivées (art. 17 DSA) — toute décision de restriction (retrait, blocage, suspension du compte) fait l'objet d'une motivation écrite communiquée à l'auteur du contenu, indiquant les motifs précis, la base légale et les voies de recours ;
• Voies de recours internes (art. 20 DSA) — l'utilisateur sanctionné peut contester la décision via un formulaire de recours dédié à contact@runexpert.fr ;
• Coopération avec les signaleurs de confiance et les autorités (art. 22 et 9 DSA) — l'éditeur coopère avec les signaleurs de confiance certifiés par les Coordinateurs nationaux pour les services numériques ;
• Protection des mineurs (art. 28 DSA) — le Service est destiné aux personnes âgées d'au moins treize (13) ans ; toute publication mettant en scène des mineurs identifiables sans consentement parental fait l'objet d'un retrait prioritaire.

Procédure de signalement et délai de traitement

Tout contenu jugé contraire aux présentes règles peut être signalé par un utilisateur via le bouton « Signaler » présent sur chaque publication, lequel ouvre un formulaire court permettant de préciser le motif du signalement (catégories conformes au DSA : contenu illicite, incitation à la haine, harcèlement, contenu sexuel inapproprié, spam ou contenu commercial non autorisé, désinformation médicale, autre). Simultanément, le signalement est enregistré côté serveur dans la base de données de modération et peut donner lieu à l'envoi d'un e-mail récapitulatif vers l'équipe de modération de l'éditeur. Conformément aux exigences DSA et aux engagements publics de l'éditeur, les signalements sont examinés sous vingt-quatre heures (24h) en jours ouvrés, hors période de force majeure ou de volume exceptionnel de signalements. La personne ayant signalé reçoit, le cas échéant, une notification de la décision prise (contenu maintenu, retiré, ou compte sanctionné), conformément à l'article 17 du DSA. Les signalements abusifs, manifestement infondés ou systématiquement répétés peuvent eux-mêmes faire l'objet de sanctions conformément à l'article 23 du DSA.

Sanctions graduées et voies de recours

En fonction de la gravité du manquement, de son caractère répété ou isolé, et de l'historique de l'utilisateur, les sanctions suivantes peuvent être prononcées par l'éditeur, dans le respect du principe de proportionnalité :

• Avertissement écrit par e-mail, sans restriction d'accès, pour un premier manquement mineur ;
• Retrait du contenu litigieux avec notification motivée à son auteur, conformément à l'article 17 DSA ;
• Restriction temporaire de la fonctionnalité communautaire (suspension de publication, perte d'accès au classement, etc.) pour une durée proportionnée ;
• Suspension du compte pour une durée déterminée (7, 30 ou 90 jours), avec préservation des données pendant cette période ;
• Résiliation définitive du compte avec suppression irréversible des données dans les conditions prévues par la politique de confidentialité, en cas de manquement grave ou répété ;
• Signalement aux autorités compétentes en cas de contenu susceptible de constituer une infraction pénale (terrorisme, pédocriminalité, incitation à la violence), conformément aux articles 6 I 7 LCEN et 18 DSA.

Toute sanction peut être contestée dans un délai de quinze (15) jours à compter de la notification, par e-mail motivé adressé à contact@runexpert.fr. La contestation est examinée par un opérateur distinct, dans un délai raisonnable et au plus tard sous trente (30) jours, conformément à l'article 20 du DSA.

Données associées aux contenus communautaires

Les contenus publiés dans la communauté (textes, photos, classements, commentaires) sont conservés pendant la durée de vie du compte et supprimés à sa suppression, conformément à la politique de confidentialité. L'éditeur conserve toutefois, pendant une durée de douze (12) mois après la suppression du contenu, un journal interne minimaliste (identifiant pseudonymisé de l'auteur, date du contenu, motif du retrait le cas échéant) à des fins de prévention de la récidive et de respect des obligations DSA, conformément à l'article 6.1.f du RGPD (intérêt légitime). Aucune autre donnée n'est conservée après suppression. Les contenus signalés et examinés font l'objet d'une trace écrite anonymisée à des fins de transparence (rapports annuels DSA prévus par l'article 15 du règlement) ; ces traces ne permettent pas la ré-identification des personnes concernées.

Donnée à caractère personnel

Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, par référence à un identifiant tel qu'un nom, un numéro, une donnée de localisation ou un identifiant en ligne (art. 4.1 du RGPD).

Traitement

Toute opération effectuée sur des données à caractère personnel : collecte, enregistrement, organisation, structuration, conservation, adaptation, modification, extraction, consultation, utilisation, communication, effacement (art. 4.2 du RGPD).

Responsable du traitement

Personne physique ou morale, autorité publique ou organisme qui détermine les finalités et les moyens du traitement (art. 4.7 du RGPD). Dans le cadre du Service, il s'agit de l'éditeur identifié à la rubrique Mentions.

Sous-traitant

Personne physique ou morale qui traite des données pour le compte du responsable du traitement (art. 4.8 du RGPD). Les sous-traitants techniques du Service sont listés à la rubrique Données.

Consentement

Manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne accepte un traitement de ses données (art. 4.11 et art. 7 du RGPD). Le consentement peut être retiré à tout moment et sans frais.

Catégories particulières de données

Données sensibles dont le traitement est en principe interdit sauf exceptions, incluant notamment les données concernant la santé, l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l'appartenance syndicale, les données génétiques ou biométriques, l'orientation sexuelle (art. 9 du RGPD).

Données concernant la santé

Données qui se rapportent à l'état de santé physique ou mentale, passée, présente ou future, d'une personne physique (art. 4.15 du RGPD). La VO2max calculée par le Service relève par précaution de cette catégorie.

Pseudonymisation

Traitement par lequel des données ne peuvent plus être attribuées à une personne sans information supplémentaire conservée séparément (art. 4.5 du RGPD). À ne pas confondre avec l'anonymisation, irréversible.

Anonymisation

Traitement rendant impossible toute ré-identification de la personne concernée, y compris par recoupement avec d'autres sources. Une donnée anonymisée n'est plus une donnée personnelle.

Profilage

Toute forme de traitement automatisé de données consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique (art. 4.4 du RGPD). Le Service ne pratique pas de profilage à finalité de décision automatisée.

Décision automatisée

Décision produisant des effets juridiques sur une personne ou l'affectant significativement, fondée exclusivement sur un traitement automatisé. L'utilisateur a le droit de ne pas faire l'objet d'une telle décision (art. 22 du RGPD).

Droit à l'effacement (« droit à l'oubli »)

Droit pour la personne concernée d'obtenir du responsable du traitement l'effacement de ses données dans les meilleurs délais (art. 17 du RGPD), sous réserve des cas où la conservation est légalement justifiée.

Droit d'opposition

Droit pour la personne concernée de s'opposer à un traitement reposant sur l'intérêt légitime ou sur l'exécution d'une mission d'intérêt public, à tout moment et pour des raisons tenant à sa situation particulière (art. 21 du RGPD).

Droit à la portabilité

Droit de recevoir les données fournies dans un format structuré, couramment utilisé et lisible par machine (CSV, JSON, etc.), et de les transmettre à un autre responsable de traitement (art. 20 du RGPD).

Délégué à la protection des données (DPO)

Personne désignée par le responsable du traitement pour veiller à la conformité au RGPD (art. 37-39 du RGPD). Sa désignation est obligatoire dans certains cas ; pour le Service, le point de contact unique est contact@runexpert.fr.

Analyse d'impact relative à la protection des données (AIPD)

Évaluation préalable à un traitement susceptible d'engendrer un risque élevé pour les droits et libertés (art. 35 du RGPD).

Violation de données

Violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données (art. 4.12 du RGPD). Notification obligatoire à la CNIL sous 72h.

Clauses Contractuelles Types (SCC)

Modèles de clauses adoptés par la Commission européenne pour encadrer les transferts internationaux de données vers des pays tiers ne disposant pas d'un niveau de protection adéquat (décision (UE) 2021/914).

Data Privacy Framework (DPF)

Cadre adopté par la décision d'adéquation (UE) 2023/1795 du 10 juillet 2023, permettant les transferts de données vers des organismes américains certifiés respectant un niveau de protection équivalent au RGPD.

Autorité de contrôle

Autorité publique indépendante chargée de veiller au respect du RGPD. En France, il s'agit de la CNIL (Commission Nationale de l'Informatique et des Libertés).

LCEN (Loi pour la confiance dans l'économie numérique)

Loi n° 2004-575 du 21 juin 2004 transposant la directive 2000/31/CE, encadrant notamment les obligations des éditeurs et hébergeurs en matière de mentions légales et de modération.

DSA (Digital Services Act)

Règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques, applicable de manière générale depuis le 17 février 2024. Il encadre la modération des contenus illicites et la transparence des plateformes.

ATT (App Tracking Transparency)

Cadre Apple introduit avec iOS 14.5 obligeant les applications à demander le consentement explicite de l'utilisateur avant de suivre son activité à travers les applications et sites web tiers.

IAB TCF (Transparency & Consent Framework)

Cadre standardisé porté par l'Interactive Advertising Bureau pour le recueil et la transmission du consentement publicitaire dans l'écosystème digital européen ; version actuelle 2.2.

UMP (User Messaging Platform)

Plateforme Google permettant aux éditeurs d'applications de recueillir le consentement RGPD des utilisateurs européens conformément au Règlement Google relatif au consentement de l'utilisateur dans l'UE.

Hébergeur (au sens de la LCEN)

Prestataire technique stockant des contenus fournis par des utilisateurs sans en contrôler le contenu a priori (art. 6 I 2 LCEN) ; sa responsabilité ne peut être engagée qu'à compter du moment où il a connaissance d'un contenu manifestement illicite et n'a pas agi promptement.

Éditeur (au sens de la LCEN)

Personne dont l'activité est d'éditer un service de communication au public en ligne (art. 6 III LCEN) ; responsable de plein droit du contenu qu'elle publie elle-même.

Cookie

Petit fichier déposé sur le terminal de l'utilisateur lors de la consultation d'un site web. Au sens de l'article 82 LIL, son dépôt nécessite le consentement préalable de l'utilisateur, sauf cookies strictement nécessaires.

e-Privacy

Directive 2002/58/CE relative à la vie privée et aux communications électroniques, transposée notamment dans l'article 82 de la loi Informatique et Libertés.

Médiateur de la consommation

Tiers neutre habilité à proposer une solution amiable à un litige entre un consommateur et un professionnel, gratuit pour le consommateur (art. L611-1 et suivants du Code de la consommation).