Confidentialité, conditions, sécurité et témoins.

GBI Inc. (« GBI », « nous » ou « notre ») collecte, utilise, communique et protège des renseignements personnels lorsque vous utilisez Build Your Legend (le « Service »), y compris le site à www.buildyourlegend.app et l’application d’entraînement StrideIQ™.

Notre siège est dans la province de Québec, au Canada. Le Service est actuellement en bêta. Nous nous engageons à traiter vos renseignements conformément aux lois applicables, notamment la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (la « Loi 25 »), la LPRPDE du Canada, le RGPD UE/R.-U. et le CCPA/CPRA.

1.1 Renseignements que nous collectons

Nous collectons seulement ce dont nous avons besoin pour faire fonctionner StrideIQ™ et améliorer votre entraînement. En particulier :

• Renseignements de compte. Votre adresse courriel, un nom d’affichage facultatif et l’état d’authentification. Nous n’entreposons pas de mots de passe; vous vous authentifiez via le flux OAuth de Strava.
• Données liées à Strava. Lorsque vous connectez Strava, nous recevons votre profil d’athlète et vos données d’activité (courses, distance, allure, fréquence cardiaque, flux GPS, cadence, dénivelé, effort perçu). Portées demandées : read, read_all, profile:read_all, activity:read, activity:read_all et activity:write. La portée activity:write n’est utilisée que si vous acceptez le téléversement de plans; nous ne modifions ni ne supprimons vos activités existantes sans votre instruction.
• Entrées d’entraînement que vous fournissez. Objectifs de course (« Chapitres »), distances et dates cibles, préférences d’entraînement, notes d’équipement, effort perçu, blessures que vous choisissez de divulguer, et tout commentaire en texte libre.
• Données d’entraînement générées. Plans, séances hebdomadaires, adaptations, analyses et messages d’accompagnement produits par StrideIQ™ pour vous.
• Données d’appareil et d’usage. Adresse IP, type et version du navigateur, système d’exploitation, identifiants d’appareil, URL de provenance, pages consultées, horodatages et événements d’interaction de base.
• Communications. Courriels que vous nous envoyez, rétroaction bêta et billets de soutien.

Nous ne collectons pas sciemment de numéros d’assurance sociale, de numéros de sécurité sociale, de pièces d’identité gouvernementales, de numéros de carte de paiement, ni de dossiers de santé cliniques sensibles.

1.2 Comment nous utilisons vos renseignements

• Fournir, exploiter et maintenir le Service, y compris générer et adapter votre plan StrideIQ™;
• Vous authentifier, sécuriser votre compte et prévenir la fraude ou l’abus;
• Communiquer avec vous au sujet des mises à jour de plan, des fonctions bêta, des jalons d’entraînement, de la maintenance et des changements de produit;
• Améliorer nos modèles et le produit grâce à des analyses agrégées et dépersonnalisées;
• Respecter les obligations légales et répondre aux demandes licites.

1.3 Bases juridiques (utilisateurs UE/R.-U.)

• Exécution d’un contrat — pour livrer le Service auquel vous vous êtes inscrit (art. 6(1)(b)).
• Intérêts légitimes — pour sécuriser nos systèmes, prévenir l’abus et améliorer le produit (art. 6(1)(f)).
• Consentement — pour les témoins non essentiels, les courriels marketing facultatifs et le traitement de données de catégorie particulière que vous fournissez volontairement (art. 6(1)(a) et 9(2)(a)).
• Obligation légale — lorsque nous devons traiter des données pour nous conformer à la loi applicable (art. 6(1)(c)).

1.4 Traitement automatisé et StrideIQ™

StrideIQ™ est un moteur d’entraînement automatisé. Il génère et modifie votre plan hebdomadaire selon vos entrées et votre historique d’activités Strava. Ces sorties sont des suggestions d’accompagnement, pas des conseils médicaux. Les plans ne produisent pas d’effets juridiques ou similairement significatifs au sens de l’article 22 du RGPD, mais vous pouvez toujours modifier, remplacer ou ignorer toute suggestion, et nous contacter pour demander une révision humaine d’une adaptation que vous jugez inappropriée.

1.5 Comment nous communiquons les renseignements

Nous ne vendons pas vos renseignements personnels. Nous les communiquons seulement dans ces circonstances limitées :

• Fournisseurs de services (sous-traitants). Hébergement et bases de données (MongoDB Atlas), infrastructure d’authentification (NextAuth), livraison de courriel, analytique, surveillance des erreurs et fournisseurs de modèles d’IA qui alimentent StrideIQ™. Chaque fournisseur est lié par des clauses de confidentialité et de traitement des données.
• Strava. Lorsque vous connectez votre compte Strava, les données circulent selon les conditions et la politique de confidentialité de Strava. Si vous acceptez le téléversement de plans, nous pouvons écrire des séances planifiées dans votre compte Strava.
• Droit et sécurité. Lorsque la loi, une ordonnance judiciaire ou la protection des droits, des biens ou de la sécurité de GBI Inc., de nos utilisateurs ou du public l’exige.
• Opérations corporatives. Si GBI Inc. participe à une fusion, une acquisition, un financement ou une vente d’actifs, vos renseignements peuvent être transférés dans le cadre de cette opération, sous des protections équivalentes.

1.6 Transferts internationaux

Les renseignements personnels sont traités au Canada et peuvent l’être aux États-Unis et dans d’autres pays où nos fournisseurs exercent. Lorsque des données quittent l’EEE, le R.-U., la Suisse ou le Québec, nous nous appuyons sur des garanties appropriées, notamment les clauses contractuelles types de la Commission européenne, l’addenda britannique sur les transferts internationaux et des évaluations d’impact selon la Loi 25 du Québec.

1.7 Conservation

Nous conservons vos renseignements personnels tant que votre compte est actif et pendant une période limitée ensuite pour respecter les obligations légales, résoudre les différends et faire valoir nos ententes. Lorsque vous supprimez votre compte, nous supprimons ou anonymisons vos renseignements dans les quatre-vingt-dix (90) jours, sauf si la loi exige une conservation. Les données agrégées et dépersonnalisées peuvent être conservées indéfiniment pour l’amélioration du produit.

1.8 Vos droits

Selon votre lieu de résidence, vous pouvez avoir le droit d’accéder à vos renseignements personnels, de les corriger, de les porter, d’en restreindre ou d’en demander la suppression; de vous opposer à certains traitements; de retirer votre consentement; et de déposer une plainte auprès d’une autorité de contrôle. Les résidents du Québec ont des droits en vertu de la Loi 25, y compris le droit à la désindexation. Les résidents de la Californie ont des droits en vertu du CCPA/CPRA. Les résidents de l’UE et du R.-U. ont des droits en vertu du RGPD / UK GDPR.

Pour exercer un droit, écrivez à privacy@buildyourlegend.app. Nous répondrons dans les délais exigés par la loi applicable (généralement 30 jours) et pourrons devoir vérifier votre identité avant de donner suite à certaines demandes.

1.9 Déconnecter Strava et supprimer votre compte

Vous pouvez révoquer notre accès à vos données Strava en tout temps dans les réglages Strava, sous « Mes applications ». Vous pouvez aussi demander la suppression du compte en écrivant à privacy@buildyourlegend.app. Déconnecter Strava arrête les nouvelles synchronisations; supprimer votre compte retire vos données stockées, sous réserve des règles de conservation ci-dessus.

1.10 Enfants

Le Service n’est pas destiné aux personnes de moins de seize (16) ans. Nous ne collectons pas sciemment de renseignements personnels auprès d’enfants. Si vous croyez qu’un enfant nous a fourni des renseignements, communiquez avec nous afin que nous les supprimions.

1.11 Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. Nous publierons la version mise à jour ici et réviserons la date « Dernière mise à jour » ci-dessus. Pour les changements importants, nous vous aviserons par courriel ou dans l’application avant qu’ils ne prennent effet.

1.12 Nous joindre

GBI Inc.
Province de Québec, Canada
Demandes de confidentialité : privacy@buildyourlegend.app

Les résidents de l’UE et du R.-U. peuvent déposer une plainte auprès de leur autorité locale de protection des données. Les résidents du Québec peuvent s’adresser à la Commission d’accès à l’information du Québec. Les autres résidents canadiens peuvent s’adresser au Commissariat à la protection de la vie privée du Canada.

Ces conditions d’utilisation (les « Conditions ») forment une entente contraignante entre vous et GBI Inc., une société constituée dans la province de Québec, au Canada, régissant votre utilisation de Build Your Legend, y compris le moteur d’entraînement StrideIQ™, le site à www.buildyourlegend.app et toute application liée (collectivement, le « Service »).

En créant un compte, en connectant Strava ou en utilisant autrement le Service, vous acceptez ces Conditions et notre politique de confidentialité. Si vous n’êtes pas d’accord, n’utilisez pas le Service.

2.1 Admissibilité

Vous devez avoir au moins seize (16) ans pour utiliser le Service. En l’utilisant, vous déclarez remplir cette exigence et avoir la capacité juridique de conclure ces Conditions dans votre ressort.

2.2 Service en bêta

Le Service est actuellement offert en bêta. Les fonctions bêta sont fournies « telles quelles », peuvent contenir des bogues, changer ou être retirées en tout temps, et peuvent ne pas fonctionner comme prévu. Nous pouvons limiter, ralentir ou révoquer l’accès aux fonctions bêta pour tout utilisateur, en tout temps, sans responsabilité. Nous donnerons un préavis raisonnable avant le passage à un forfait payant et honorerons les engagements précisément consentis aux utilisateurs en accès anticipé.

2.3 Votre compte

Vous êtes responsable de la confidentialité de vos identifiants d’authentification, y compris votre compte Strava connecté. Avisez-nous rapidement à privacy@buildyourlegend.app de toute utilisation non autorisée. Vous êtes responsable de toute activité qui se produit sous votre compte.

2.4 Services de tiers (Strava)

Le Service s’appuie sur l’API de Strava pour sa fonctionnalité de base. Votre utilisation de Strava est régie par les propres conditions et la politique de confidentialité de Strava. Nous ne sommes pas affiliés à Strava, ni cautionnés ni commandités par Strava. Si Strava change son API, restreint notre accès ou devient indisponible, notre capacité à fournir le Service peut être réduite ou suspendue. Nous n’acceptons aucune responsabilité pour les actes ou omissions de Strava.

2.5 Utilisation acceptable

Vous convenez de ne pas :

• Utiliser le Service en violation d’une loi, d’un règlement ou des droits d’un tiers;
• Tenter de rétroconcevoir, de décompiler, d’aspirer ou d’obtenir autrement un accès non autorisé au Service ou à ses systèmes;
• Utiliser le Service pour transmettre des maliciels, mener des attaques par déni de service ou nuire aux autres utilisateurs;
• Soumettre des données fausses ou trompeuses, usurper l’identité d’une autre personne ou utiliser le compte Strava d’un autre utilisateur sans autorisation;
• Revendre, sous-licencier ou exploiter commercialement le Service ou ses sorties sans notre consentement écrit préalable;
• Utiliser le Service ou ses sorties pour entraîner des modèles d’apprentissage automatique concurrents.

2.6 Pas un avis médical — acceptation des risques

Le Service fournit des indications générales d’entraînement, pas un avis médical. Les suggestions de StrideIQ™ sont informatives seulement et ne remplacent pas l’avis d’un médecin, d’un physiothérapeute ou d’un autre professionnel de la santé. La course et les autres activités physiques comportent des risques inhérents de blessure, de maladie et, rarement, de décès. Vous assumez tous les risques liés au suivi d’un plan généré par le Service. Consultez un professionnel de la santé qualifié avant de commencer tout nouveau programme d’exercice, surtout si vous avez une condition médicale, êtes enceinte ou vous remettez d’une blessure.

2.7 Votre contenu

Vous conservez la propriété des données et du contenu que vous soumettez au Service (le « Contenu utilisateur »). Vous accordez à GBI Inc. une licence mondiale, non exclusive et libre de redevances pour héberger, stocker, reproduire, traiter, transmettre et créer des œuvres dérivées de votre Contenu utilisateur uniquement dans la mesure nécessaire pour exploiter, sécuriser et améliorer le Service. Vous pouvez révoquer cette licence en supprimant votre compte, sous réserve des règles de conservation de notre politique de confidentialité.

2.8 Notre propriété intellectuelle

Le Service, y compris le moteur StrideIQ™, les logiciels, les modèles, les designs, les logos et les noms et marques « Build Your Legend » et « StrideIQ », appartient à GBI Inc. ou à ses concédants. Nous vous accordons une licence limitée, non exclusive, non transférable et révocable d’utiliser le Service pour votre entraînement personnel et non commercial, sous réserve de ces Conditions.

2.9 Frais, facturation et essais

Pendant la bêta, le Service est fourni sans frais sauf indication contraire. Lorsque des forfaits payants seront introduits, les frais, les conditions d’abonnement, la durée de l’essai gratuit et la politique de remboursement seront présentés au moment de l’achat. Les abonnements se renouvellent automatiquement jusqu’à annulation. Vous pouvez annuler en tout temps; l’annulation prend effet à la fin de la période de facturation alors en cours. Les utilisateurs bêta recevront un avis et une occasion de consentir avant tout frais payant.

2.10 Suspension et résiliation

Nous pouvons suspendre ou résilier votre accès en tout temps, avec ou sans préavis, si nous croyons raisonnablement que vous avez violé ces Conditions, si la loi l’exige, ou si la poursuite du Service présente un risque pour d’autres utilisateurs ou nos systèmes. Vous pouvez cesser d’utiliser le Service et supprimer votre compte en tout temps en écrivant à privacy@buildyourlegend.app.

2.11 Exclusions de garantie

Le Service est fourni « tel quel » et « selon disponibilité », sans garantie d’aucune sorte, expresse, implicite ou légale. Dans la mesure maximale permise par la loi applicable, GBI Inc. exclut toute garantie, y compris les garanties de qualité marchande, d’adaptation à un usage particulier, de non-contrefaçon, d’exactitude et de fonctionnement ininterrompu ou sans erreur. Nous ne garantissons pas que les suggestions de StrideIQ™ produiront un résultat particulier.

2.12 Limitation de responsabilité

Dans la mesure maximale permise par la loi applicable, GBI Inc. et ses administrateurs, dirigeants, employés et mandataires ne seront pas responsables des dommages indirects, accessoires, spéciaux, consécutifs, exemplaires ou punitifs, ni de toute perte de profits, de revenus, de données, d’achalandage ou d’autres pertes intangibles. En aucun cas notre responsabilité globale ne dépassera le plus élevé de (i) le total des frais que vous nous avez payés au cours des douze (12) mois précédant l’événement, ou (ii) 100 $ CA.

2.13 Indemnisation

Vous convenez d’indemniser et de tenir à couvert GBI Inc. et son personnel contre toute réclamation, tout dommage, toute perte, toute responsabilité et toute dépense (y compris les honoraires juridiques raisonnables) découlant de votre utilisation du Service en violation de ces Conditions, de votre Contenu utilisateur ou de votre violation d’une loi ou d’un droit de tiers.

2.14 Modifications de ces Conditions

Nous pouvons mettre à jour ces Conditions de temps à autre. Pour les changements importants, nous donnerons un préavis raisonnable par courriel ou dans l’application. Votre utilisation continue du Service après l’entrée en vigueur des changements constitue une acceptation des Conditions mises à jour.

2.15 Droit applicable et for

Ces Conditions sont régies par les lois de la province de Québec et les lois fédérales du Canada qui s’y appliquent. Les parties conviennent que les tribunaux du district judiciaire de Montréal, province de Québec, auront compétence exclusive sur tout différend découlant de ces Conditions ou du Service, sous réserve de tout droit non renonçable que vous pourriez avoir dans votre pays de résidence.

2.16 Divers

Ces Conditions, avec notre politique de confidentialité et toute condition propre à une commande, constituent l’entente intégrale entre vous et GBI Inc. concernant le Service. Si une disposition est jugée inexécutoire, les autres demeurent en vigueur.

Note de droit québécois : la version anglaise est l’instrument qui prévaut. La mention de l’article 55 de la Charte de la langue française qui figure dans la version anglaise (« Les parties confirment leur volonté expresse que le présent contrat soit rédigé en anglais. ») s’applique à cet instrument.

La sécurité est fondamentale pour un service qui traite vos données d’entraînement et votre connexion Strava. Cette section décrit les mesures organisationnelles et techniques que nous utilisons pour protéger le Service. Nos pratiques évoluent avec le produit.

3.1 Données en transit

Toutes les connexions au Service utilisent TLS 1.2 ou une version supérieure. Le trafic entre votre navigateur, nos serveurs d’application, notre base de données et l’API Strava est chiffré en transit. Nous imposons HTTPS partout et utilisons HSTS pour prévenir les attaques par rétrogradation de protocole.

3.2 Données au repos

Vos données sont stockées dans MongoDB Atlas avec un chiffrement au repos AES-256. Les sauvegardes sont chiffrées et l’accès est limité au personnel autorisé selon un contrôle d’accès fondé sur les rôles. Les secrets (clés API, secrets clients OAuth, clés de signature) sont stockés dans un système de secrets géré, jamais dans le code source.

3.3 Authentification et sécurité des sessions

L’authentification des utilisateurs passe par le flux OAuth 2.0 de Strava via NextAuth. Nous n’entreposons pas votre mot de passe Strava. Les sessions sont émises sous forme de JWT signés avec une courte durée de vie du jeton d’accès; les jetons de rafraîchissement sont renouvelés et révoqués à la déconnexion. Les témoins sensibles sont marqués HttpOnly et Secure et utilisent le réglage SameSite le plus strict possible.

3.4 Sécurité applicative

Nous suivons les pratiques courantes de sécurité web, notamment la validation des entrées, les requêtes paramétrées, l’encodage des sorties, l’analyse des dépendances et les mises à jour régulières des bibliothèques tierces. Notre infrastructure est segmentée; les données de production ne sont pas accessibles depuis les environnements de préproduction ou de développement local. L’accès privilégié est limité à un petit nombre de personnes autorisées et est consigné.

3.5 Surveillance et réponse aux incidents

Nous surveillons les erreurs applicatives, les schémas d’authentification anormaux et les anomalies d’usage. Nous maintenons un processus de réponse aux incidents et aviserons les utilisateurs concernés et les régulateurs applicables conformément à nos obligations en vertu de la Loi 25 du Québec, de la LPRPDE, du RGPD / UK GDPR et du CCPA/CPRA en cas d’incident confirmé de renseignements personnels qui crée un risque réel de préjudice sérieux.

3.6 Divulgation responsable

Si vous croyez avoir découvert une vulnérabilité de sécurité, signalez-la en privé à privacy@buildyourlegend.app. Veuillez ne pas divulguer publiquement le problème avant que nous ayons eu une occasion raisonnable d’enquêter et de le corriger. Nous accuserons réception, traiterons de bonne foi les problèmes valides rapidement et créditerons votre découverte si vous le souhaitez.

3.7 Votre rôle pour garder le Service en sécurité

La sécurité est une responsabilité partagée. Utilisez un mot de passe fort et unique sur Strava; activez l’authentification à deux facteurs de Strava; déconnectez-vous des appareils partagés; et examinez périodiquement les applications liées à votre compte Strava. Si vous soupçonnez une compromission, communiquez avec nous immédiatement.

Cette politique explique comment Build Your Legend utilise les témoins et technologies semblables sur le site à www.buildyourlegend.app et dans l’application StrideIQ™.

4.1 Qu’est-ce qu’un témoin?

Un témoin est un petit fichier texte qu’un site place sur votre appareil lorsque vous le visitez. Nous utilisons aussi des technologies liées comme le stockage local, le stockage de session et les balises pixel. Par souci de concision, nous les appelons tous « témoins » dans cette section.

4.2 Les témoins que nous utilisons

Nous n’utilisons pas de témoins pour la publicité comportementale intercontextes et nous ne vendons ni ne partageons de renseignements personnels à des fins publicitaires au sens du CCPA/CPRA.

4.3 Témoins de tiers

Lorsque vous vous authentifiez via Strava, Strava peut déposer ses propres témoins sur son propre domaine. Ces témoins sont régis par les politiques de Strava, pas les nôtres. Nous n’intégrons pas de publicité tierce ni de pixels de suivi de réseaux sociaux sur le Service.

4.4 Gérer vos préférences

Lorsque la loi l’exige, nous demanderons votre consentement aux témoins non essentiels via une bannière dans le produit avant de les déposer. Vous pouvez retirer votre consentement en tout temps dans les réglages de votre compte ou en effaçant les témoins de votre navigateur. La plupart des navigateurs honorent le signal Global Privacy Control (GPC), et nous traitons un signal GPC comme une demande de désinscription valide en vertu du CCPA/CPRA.

4.5 Mises à jour de cette politique

Nous pouvons mettre à jour cette politique à mesure que notre usage des témoins évolue. Nous réviserons la date « Dernière mise à jour » ci-dessus. Pour les changements importants, nous vous aviserons dans l’application ou par courriel.