Politique de confidentialité

Sommaire

1. Article 1 — Objet et champ d'application
2. Article 2 — Responsable du traitement et contact
3. Article 3 — Principes de protection appliqués
4. Article 4 — Origine et catégories de données
5. Article 5 — Données de santé et consentement explicite
6. Article 6 — Finalités, bases légales et caractère obligatoire
7. Article 7 — Assistance par intelligence artificielle
8. Article 8 — Destinataires et personnes habilitées
9. Article 9 — Prestataires techniques et services tiers
10. Article 10 — Transferts hors de l'Espace économique européen
11. Article 11 — Durées de conservation
12. Article 12 — Sécurité et confidentialité
13. Article 13 — Droits des personnes
14. Article 14 — Exercice des droits et délais de réponse
15. Article 15 — Retrait du consentement, fermeture et suppression
16. Article 16 — Import d'activités et connexion Strava
17. Article 17 — Traceurs, communications et liens externes
18. Article 18 — Violations de données
19. Article 19 — Mineurs et données de tiers
20. Article 20 — Modification et entrée en vigueur

Article 1 — Objet et champ d'application

La présente Politique de confidentialité s'applique au site runlab360.fr, à la Plateforme RunLab360, au Compte, au Scan Découverte, au parcours de commande, au Service Premium, au support et aux communications nécessaires au fonctionnement du service. Elle couvre les données collectées directement auprès de l'Utilisateur ainsi que celles récupérées, à sa demande, auprès d'une source d'activité comme Strava.

Le service est réservé aux personnes physiques majeures résidant en France métropolitaine ou en Corse et utilisant leurs propres données. Elle ne couvre ni les mineurs, ni un service B2B, ni un dossier créé pour un patient, un client, un salarié ou un proche. Elle couvre en revanche le rapport professionnel produit à partir de la même analyse Premium et son partage contrôlé avec un Professionnel Partenaire RunLab360 expressément autorisé par l'Utilisateur.

Les CGU encadrent l'utilisation de la Plateforme. Les CGV encadrent l'achat du rapport Premium. La politique relative aux cookies décrit séparément les traceurs et les choix associés.

Article 2 — Responsable du traitement et contact

À compter de la date d'entrée en vigueur, le responsable du traitement est RUNLAB360, société par actions simplifiée unipersonnelle au capital de 1 000 euros, dont le siège social est situé 40 chemin Bel Air, 33850 Léognan, France, immatriculée au Registre du commerce et des sociétés de Bordeaux sous le numéro 108 238 049 (RCS : 108 238 049, SIRET du siège : 108 238 049 00010), représentée par son Président Arnaud YOUDKEVITCH.

• Contact données personnelles et exercice des droits : contact@runlab360.fr
• Adresse postale : RUNLAB360 — Données personnelles, 40 chemin Bel Air, 33850 Léognan
• Téléphone : 0642239177
• Site : https://runlab360.fr

Aucun délégué à la protection des données n'est désigné dans la présente version. Si un DPO est désigné, ses coordonnées seront ajoutées sans délai. Le contact ci-dessus reste dans tous les cas le point d'entrée pour les questions et demandes relatives aux données personnelles.

Article 3 — Principes de protection appliqués

• Finalité déterminée : chaque collecte répond à un objectif annoncé ; une réutilisation incompatible est interdite.
• Minimisation : seules les données utiles au parcours choisi sont demandées ; les traces GPS détaillées et les pièces médicales ne doivent pas alimenter l'analyse lorsqu'elles ne sont pas nécessaires.
• Transparence : une notice courte est affichée au point de collecte et renvoie vers la présente politique.
• Exactitude : l'Utilisateur peut corriger ses réponses et signaler une donnée mal attribuée ou erronée.
• Conservation limitée : données actives, archives probatoires et sauvegardes suivent des durées distinctes.
• Sécurité et confidentialité : les accès sont limités aux personnes et prestataires ayant besoin des données pour leur mission.
• Responsabilité démontrable : registre, documentation des sous-traitants, AIPD et conservation des preuves nécessaires.

Article 4 — Origine et catégories de données

Les données proviennent principalement de l'Utilisateur, de son utilisation de la Plateforme, du prestataire de paiement et, lorsqu'il l'autorise, de son compte Strava ou d'un fichier d'activité qu'il importe. Les données issues de Strava ne sont pas considérées comme librement accessibles : elles sont obtenues dans le périmètre autorisé par l'Utilisateur.

Article 5 — Données de santé et consentement explicite

Certaines réponses et métriques sont des données relatives à la santé ou permettent d'en déduire un état. Leur traitement repose sur le consentement explicite de l'Utilisateur au titre de l'article 9, paragraphe 2, a) du RGPD, en complément de la base juridique applicable à la finalité ordinaire au titre de l'article 6.

Le consentement santé est demandé par une action positive dédiée, avant le premier champ ou import sensible. Il est distinct des CGU, des CGV, de l'autorisation Strava, de la demande d'exécution anticipée, du marketing et des cookies. La case est décochée par défaut. RUNLAB360 conserve le texte présenté, sa version, son empreinte, l'horodatage, le choix et, le cas échéant, le retrait — sans jamais recopier les réponses de santé dans le journal de preuve.

Le refus ou le retrait ne donne lieu à aucune discrimination ou prospection défavorable. Il rend cependant impossible le Scan ou l'analyse Premium lorsqu'ils nécessitent les données concernées. Le retrait ne remet pas en cause les traitements licites effectués avant celui-ci.

Article 6 — Finalités, bases légales et caractère obligatoire

Lorsque des données de santé sont nécessaires, la base de l'article 6 ne suffit pas : le consentement explicite de l'article 9 s'y ajoute.

Les communications indispensables à la sécurité, au paiement, à la complétude du Dossier, à la publication du Rapport ou à une modification affectant le service ne sont pas des messages promotionnels : elles sont nécessaires à l'exécution du service ou à la protection du Compte.

Article 7 — Assistance par intelligence artificielle

RUNLAB360 utilise des systèmes d'intelligence artificielle pour structurer les réponses et les activités, produire des livrables intermédiaires et préparer une analyse personnalisée. Les données peuvent être pseudonymisées avant transmission, notamment en remplaçant l'identité directe par un identifiant technique. Une donnée pseudonymisée reste une donnée personnelle et, lorsqu'elle révèle la santé, demeure une donnée sensible.

• Données utilisées : questionnaire, agrégats d'activité et livrables intermédiaires strictement nécessaires à la phase concernée.
• Finalité : produire le service demandé, contrôler sa cohérence et permettre une reprise technique en cas d'interruption.
• Contrôle humain : chaque Rapport Premium est relu par une personne habilitée qui peut corriger, refuser ou demander une précision avant publication.
• Limites : les résultats peuvent comporter des erreurs, omissions ou interprétations imparfaites ; le Rapport ne constitue pas une décision médicale.
• Pas de décision exclusivement automatisée : aucune décision produisant un effet juridique ou similaire n'est prise sur le seul fondement d'un traitement automatisé.
• Pas d'entraînement par RUNLAB360 : les données identifiables ne sont pas constituées en base d'apprentissage et ne sont pas réutilisées pour une autre finalité sans analyse et information préalables.

Article 8 — Destinataires et personnes habilitées

RUNLAB360 ne vend, ne loue et ne cède pas les données à des courtiers, annonceurs ou partenaires commerciaux. Aucune publicité ciblée n'est établie à partir des douleurs, blessures, activités, métriques physiologiques ou conclusions du Rapport.

Article 9 — Prestataires techniques et services tiers

Les services ci-dessous constituent les prestataires techniques du service. La présente politique est mise à jour lorsqu'un changement modifie de manière significative les destinataires, la localisation ou les garanties applicables.

Chaque prestataire peut recourir à des sous-traitants ultérieurs. RUNLAB360 tient une liste à jour dans son registre interne et met à jour la présente politique lorsqu'un changement modifie de manière significative les destinataires, la localisation ou les garanties.

Article 10 — Transferts hors de l'Espace économique européen

Certains prestataires ou sous-traitants peuvent traiter des données hors de l'Espace économique européen. Un tel transfert ne peut intervenir qu'après identification du pays, de la chaîne de sous-traitance et du mécanisme applicable : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes ou autre garantie prévue par le chapitre V du RGPD, complétée si nécessaire par des mesures supplémentaires.

Article 11 — Durées de conservation

RUNLAB360 conserve les données pendant la durée utile à chaque finalité, puis les supprime, les anonymise irréversiblement ou les place en archivage intermédiaire à accès restreint lorsqu'une obligation ou la défense de droits le justifie.

Les durées imposées par un prestataire technique ne remplacent pas la politique de RUNLAB360. Lorsque le fournisseur conserve temporairement des données pour la sécurité, l'état applicatif ou les sauvegardes, cette durée doit être connue, documentée et compatible avec la présente politique.

Article 12 — Sécurité et confidentialité

Compte tenu de la sensibilité des données, RUNLAB360 met en œuvre des mesures techniques et organisationnelles proportionnées aux risques. La description publique reste générale afin de ne pas affaiblir la sécurité du système.

• chiffrement des échanges et protections adaptées des données stockées ;
• séparation des rôles coureur, support, relecteur, administrateur et super-administrateur ;
• accès selon le besoin d'en connaître, authentification renforcée et revue des habilitations ;
• secrets conservés côté serveur, rotation et révocation documentées ;
• journalisation des accès et actions sensibles sans recopier les données de santé dans les logs généraux ;
• séparation des environnements de test et de production ;
• sauvegardes contrôlées, continuité, reprise et suppression testées ;
• procédure de gestion des incidents et des violations de données ;
• contrats, instructions et confidentialité imposés aux prestataires et intervenants autorisés.

Aucune mesure ne supprime tout risque. L'Utilisateur contribue à la sécurité en protégeant ses moyens d'authentification, en utilisant un équipement à jour et en signalant immédiatement tout affichage de données étrangères, lien suspect ou accès non autorisé à contact@runlab360.fr.

Article 13 — Droits des personnes

• Droit d'accès : obtenir confirmation du traitement, une copie des données et les informations utiles sur leurs usages, destinataires, sources et transferts.
• Droit de rectification : faire corriger une donnée inexacte ou compléter une donnée pertinente.
• Droit à l'effacement : demander la suppression lorsqu'un motif légal s'applique, sous réserve notamment des obligations comptables, de la garantie et de la défense de droits.
• Droit à la limitation : demander le gel temporaire de certains usages dans les situations prévues par la loi.
• Droit à la portabilité : recevoir, dans un format structuré et lisible par machine, les données fournies et traitées de manière automatisée sur la base du contrat ou du consentement. Ce droit ne couvre pas nécessairement les analyses et inférences créées par RUNLAB360.
• Droit d'opposition : s'opposer, pour des raisons tenant à sa situation particulière, aux traitements fondés sur l'intérêt légitime. L'opposition à la prospection peut être exercée à tout moment et sans motif.
• Retrait du consentement : retirer à tout moment le consentement santé, marketing ou cookies, aussi simplement qu'il a été donné, sans remettre en cause les traitements antérieurs licites.
• Décision automatisée : ne pas faire l'objet d'une décision exclusivement automatisée produisant un effet juridique ou similaire. Le service ne met pas en œuvre une telle décision.
• Directives après décès : définir des directives relatives à la conservation, à l'effacement et à la communication des données après son décès, conformément à la loi française.

L'Utilisateur peut également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), notamment depuis cnil.fr, sans préjudice de tout autre recours administratif ou juridictionnel.

Article 14 — Exercice des droits et délais de réponse

La demande peut être adressée à contact@runlab360.fr ou par courrier à RUNLAB360 — Données personnelles, 40 chemin Bel Air, 33850 Léognan. Elle doit permettre d'identifier le Compte et le droit exercé. Il est recommandé d'utiliser l'adresse électronique liée au Compte.

RUNLAB360 répond dans les meilleurs délais et au plus tard dans le mois suivant la réception. Ce délai peut être prolongé de deux mois en raison de la complexité ou du nombre de demandes ; l'Utilisateur en est informé dans le premier mois avec les motifs du report.

Une pièce d'identité n'est pas demandée systématiquement. En cas de doute raisonnable, RUNLAB360 peut demander les informations strictement nécessaires à la vérification, sans conserver inutilement la copie du justificatif. Les demandes manifestement infondées ou excessives peuvent être traitées selon les limites prévues par l'article 12 du RGPD. L'exercice des droits est gratuit ; la copie communiquée n'inclut pas les données de tiers.

Article 15 — Retrait du consentement, fermeture et suppression

Une demande d'effacement ou la fermeture du Compte peut rendre le Rapport inaccessible. Lorsque les droits du consommateur et la sécurité le permettent, RUNLAB360 propose d'abord un export. L'Utilisateur qui souhaite conserver son Rapport doit le télécharger avant l'effacement définitif.

Article 16 — Import d'activités et connexion Strava

Lorsque la connexion Strava est proposée, l'Utilisateur autorise RunLab360 à récupérer les catégories d'activités affichées avant la redirection. Selon les autorisations et l'API, les données peuvent comprendre le type, la date, la durée, la distance, le dénivelé, l'allure, la fréquence cardiaque, la puissance et, si le flux le contient, une trace GPS.

RUNLAB360 n'a pas pour finalité d'importer les abonnés, commentaires, mentions « J'aime », contacts ou contenus sociaux. Les autorisations demandées sont limitées au besoin de l'analyse. L'Utilisateur peut révoquer la connexion depuis Strava et, lorsque la fonction existe, depuis son espace RunLab360. La révocation arrête les récupérations futures mais n'efface pas automatiquement les données déjà importées ; une demande d'effacement peut être adressée à RUNLAB360.

Pour l'import manuel, l'Utilisateur transmet un fichier obtenu licitement depuis son propre compte. Une archive peut contenir plus de données que nécessaire, notamment des traces de localisation. RUNLAB360 vise à limiter l'extraction aux éléments utiles, à exclure les données de tiers et à appliquer les durées et suppressions prévues par la présente politique.

Article 17 — Traceurs, communications et liens externes

Les traceurs strictement nécessaires peuvent être utilisés pour l'authentification, la sécurité, le paiement et la mémorisation du choix de confidentialité. Les traceurs non nécessaires, notamment de mesure d'audience ou de personnalisation, ne sont activés qu'après un choix libre. Le refus doit être aussi simple que l'acceptation et le choix peut être modifié depuis un lien persistant « Gérer mes cookies ». Les détails figurent dans la politique relative aux cookies.

Les messages relatifs au Compte, à la sécurité, à une donnée manquante, au paiement, au Rapport, à une garantie ou à une modification importante sont des communications de service. Les actualités et offres commerciales ne sont adressées que si l'Utilisateur y a consenti et comprennent un moyen simple de désinscription.

La Plateforme peut contenir des liens vers des ressources externes. Lorsque l'Utilisateur quitte RunLab360, le site tiers traite ses données selon sa propre politique. RUNLAB360 ne transmet pas le questionnaire ou le Rapport au seul motif qu'un lien externe est affiché.

Article 18 — Violations de données

RUNLAB360 maintient une procédure de détection, confinement, analyse, correction et documentation des violations de données. Lorsqu'une violation est susceptible d'engendrer un risque pour les droits et libertés, elle est notifiée à la CNIL dans les conditions et délais légaux. Lorsqu'elle présente un risque élevé, les personnes concernées sont informées dans les meilleurs délais, sauf exception prévue par le RGPD.

L'information décrit, dans un langage clair, la nature de l'incident, ses conséquences probables, les mesures prises et les actions recommandées. Toute suspicion peut être signalée à contact@runlab360.fr sans exploiter ni diffuser la vulnérabilité.

Article 19 — Mineurs et données de tiers

Le service n'est pas destiné aux mineurs. L'Utilisateur confirme avoir au moins dix-huit ans et agir pour son propre compte. Il ne doit pas créer de Dossier pour un enfant, un patient, un client, un salarié, un proche ou un autre coureur.

Si RUNLAB360 identifie des données relatives à un mineur ou à un tiers transmises sans base valable, il limite le traitement, demande les précisions strictement nécessaires et supprime les données lorsque leur conservation n'est pas légalement justifiée. La personne concernée peut contacter RUNLAB360 pour exercer ses droits.

Article 20 — Modification et entrée en vigueur

RUNLAB360 peut modifier la présente politique pour refléter une évolution légale, réglementaire, technique ou fonctionnelle. La date et le numéro de version sont indiqués. Une modification substantielle est portée à la connaissance des Utilisateurs par un moyen approprié avant son entrée en vigueur lorsque cela est nécessaire.

Si une nouvelle finalité repose sur le consentement, elle fait l'objet d'un choix spécifique avant tout traitement. Une mise à jour de la politique ne transforme jamais, à elle seule, un ancien consentement en autorisation pour une nouvelle finalité.

Version : PRIVACY_RUNLAB360_V1.2_2026-08-26. Date d'entrée en vigueur : 26/08/2026.

Annexe — Notices courtes affichées au point de collecte

Documents liés : CGU · CGV · Cookies · Mentions légales · Gérer mes consentements