Politique de confidentialité

Medtra Inc. (ci-après « nous », « notre » ou « MedFitness ») est une entreprise technologique enregistrée au Québec, Canada, dont le siège social est situé à Montréal, QC. Nous exploitons la plateforme MedFitness (site web, application mobile et services connexes).

La présente Politique de confidentialité décrit comment nous collectons, utilisons, divulguons, conservons et protégeons vos renseignements personnels lorsque vous utilisez nos services.

En utilisant MedFitness, vous consentez aux pratiques décrites dans cette politique. Si vous n'acceptez pas cette politique, veuillez ne pas utiliser nos services.

MedFitness est pleinement conforme à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, anciennement projet de loi 64), entrée en vigueur progressivement depuis septembre 2022.

Responsable de la protection des renseignements personnels (RPRP) :

• Nom : Medelya Claude
• Titre : Président et RPRP, Medtra Inc.
• Courriel : [email protected]
• Téléphone : +1 514 558-3084
• Adresse : Montréal, QC, Canada

Conformément à la Loi 25, nous nous engageons à :

• Désigner un responsable de la protection des renseignements personnels
• Réaliser des évaluations des facteurs relatifs à la vie privée (ÉFVP) avant tout nouveau projet impliquant des renseignements personnels
• Tenir un registre des incidents de confidentialité
• Notifier la Commission d'accès à l'information (CAI) et les personnes concernées en cas d'incident présentant un risque sérieux de préjudice
• Obtenir un consentement manifeste, libre et éclairé pour la collecte de renseignements sensibles
• Assurer la portabilité des données sur demande
• Procéder à la destruction ou à l'anonymisation des renseignements lorsque la finalité de la collecte est accomplie

En tant qu'entreprise canadienne, MedFitness respecte la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA) et ses 10 principes équitables d'information :

• Responsabilité : Nous sommes responsables des renseignements personnels sous notre contrôle.
• Détermination des fins : Nous identifions les fins de la collecte avant ou au moment de recueillir les renseignements.
• Consentement : La collecte, l'utilisation et la communication sont faites avec votre consentement éclairé.
• Limitation de la collecte : Nous ne recueillons que les renseignements nécessaires aux fins identifiées.
• Limitation de l'utilisation, de la communication et de la conservation : Les renseignements ne sont utilisés qu'aux fins pour lesquelles ils ont été recueillis.
• Exactitude : Nous maintenons les renseignements à jour dans la mesure nécessaire.
• Mesures de sécurité : Nous protégeons les renseignements par des mesures adaptées à leur sensibilité.
• Transparence : Nos politiques sont facilement accessibles.
• Accès aux renseignements personnels : Vous pouvez demander l'accès à vos renseignements.
• Possibilité de porter plainte : Vous pouvez contester notre conformité auprès de notre RPRP.

Nous collectons les catégories de renseignements personnels suivantes :

a) Informations de compte

• Nom complet, prénom
• Adresse courriel
• Numéro de téléphone (optionnel)
• Photo de profil (optionnelle)
• Date de naissance
• Sexe/genre

b) Données de santé et de condition physique

• Poids, taille, IMC
• Mensurations corporelles (tour de poitrine, taille, hanches, bras, cuisses, épaules)
• Historique d'entraînement (exercices, séries, répétitions, charges)
• Objectifs fitness personnels
• Conditions médicales déclarées (blessures, limitations)
• Fréquence cardiaque et données de montre connectée (Apple Watch, Samsung Watch)

c) Données de suivi hormonal

• Données du cycle menstruel (pour les utilisatrices qui activent cette fonctionnalité)
• Phase du cycle (folliculaire, ovulation, lutéale, menstruation)
• Symptômes associés

d) Données nutritionnelles

• Repas enregistrés
• Calories et macronutriments (protéines, glucides, lipides)
• Préférences alimentaires et restrictions

e) Photos et images corporelles

• Photos de progression (face, côté, dos)
• Photos avant/après

f) Données d'appareil et d'utilisation

• Type d'appareil, système d'exploitation, version de l'application
• Adresse IP
• Pages consultées, fonctionnalités utilisées
• Horodatage des interactions

g) Données de localisation

• Localisation approximative (fuseau horaire, pays)
• Localisation précise (uniquement si vous l'autorisez explicitement, par exemple pour trouver un gym)

h) Informations de paiement

• Les paiements sont traités par Stripe. Nous ne stockons jamais votre numéro de carte de crédit complet.
• Nous conservons : type de carte (derniers 4 chiffres), date d'expiration, historique de facturation.

i) Communications coach-client

• Messages texte échangés dans la plateforme
• Messages audio
• Notes du coach sur votre progression
• Check-ins hebdomadaires

Nous utilisons vos renseignements personnels aux fins suivantes :

• Fournir nos services : Créer et gérer votre compte, générer des programmes d'entraînement personnalisés, suivre vos progrès.
• Personnalisation : Adapter les recommandations d'exercices, de nutrition et de récupération à votre profil et objectifs.
• Suivi hormonal : Ajuster vos programmes d'entraînement en fonction de votre cycle menstruel (si activé).
• Communication : Envoyer des notifications, rappels d'entraînement, messages motivationnels et communications coach-client.
• Facturation : Traiter les paiements, gérer les abonnements, émettre des reçus.
• Amélioration du service : Analyser l'utilisation agrégée pour améliorer nos fonctionnalités et l'expérience utilisateur.
• Sécurité : Prévenir la fraude, détecter les abus et assurer la sécurité de la plateforme.
• Obligations légales : Respecter nos obligations légales et réglementaires.
• Recherche et développement : Développer de nouvelles fonctionnalités (données anonymisées/agrégées uniquement).

Selon la nature du traitement, nous nous appuyons sur les bases légales suivantes :

• Consentement : Pour la collecte de données de santé, photos corporelles, données hormonales et l'envoi de communications marketing. Vous pouvez retirer votre consentement à tout moment.
• Exécution du contrat : Pour la fourniture de nos services (création de compte, génération de programmes, suivi des entraînements).
• Intérêt légitime : Pour la sécurité de la plateforme, la prévention de la fraude et l'amélioration de nos services (données agrégées).
• Obligation légale : Pour le respect de nos obligations fiscales et réglementaires.

Nous ne vendons jamais vos données personnelles.

Nous partageons vos renseignements uniquement avec les fournisseurs de services suivants, strictement nécessaires au fonctionnement de la plateforme :

Fournisseur	Service	Données partagées	Localisation
Supabase	Base de données & authentification	Toutes les données de compte et d'utilisation	États-Unis
Stripe	Traitement des paiements	Informations de facturation	États-Unis
Resend	Envoi de courriels	Adresse courriel, prénom	États-Unis
Twilio	Envoi de SMS	Numéro de téléphone	États-Unis

Chaque fournisseur est lié par des ententes contractuelles garantissant un niveau de protection adéquat de vos renseignements.

Nous pouvons également divulguer vos renseignements si la loi l'exige (ordonnance de tribunal, demande gouvernementale).

Si vous utilisez le plan Coaching, votre coach personnel aura accès aux données suivantes :

Ce que votre coach peut voir :

• Votre profil (nom, âge, sexe, objectifs)
• Vos données d'entraînement (historique des séances, charges, progression)
• Vos mensurations et votre poids
• Vos photos de progression (si vous les partagez)
• Vos check-ins hebdomadaires
• Vos données nutritionnelles
• Votre niveau de fatigue et de stress déclaré
• Vos données hormonales (si vous activez le partage)

Ce que votre coach NE PEUT PAS voir :

• Votre adresse courriel personnelle
• Votre numéro de téléphone
• Vos informations de paiement
• Votre adresse physique
• Vos communications avec d'autres utilisateurs
• Vos données de localisation

Vous pouvez à tout moment modifier les permissions d'accès de votre coach dans vos paramètres de confidentialité.

Les données de santé et de condition physique sont considérées comme des renseignements sensibles. Nous appliquons des mesures de protection renforcées :

• Chiffrement : Toutes les données de santé sont chiffrées au repos (AES-256) et en transit (TLS 1.3).
• Accès restreint : Seul le personnel strictement nécessaire a accès aux données de santé, avec journalisation des accès.
• Consentement explicite : La collecte de données de santé requiert un consentement séparé et explicite.
• Ségrégation : Les données de santé sensibles sont stockées séparément des données de compte générales.
• Anonymisation : Les données utilisées à des fins d'analyse sont anonymisées avant traitement.
• Audit : Des audits de sécurité réguliers sont effectués sur les systèmes contenant des données de santé.

Les photos de progression constituent des données particulièrement sensibles. Voici comment nous les protégeons :

• Stockage chiffré : Toutes les photos sont chiffrées au repos avec un chiffrement de niveau militaire (AES-256).
• Accès restreint : Vos photos ne sont visibles que par vous-même et votre coach (si vous l'autorisez explicitement).
• Pas de partage public : Les photos de progression ne sont jamais partagées publiquement, sauf si vous choisissez volontairement de les publier dans la communauté.
• Suppression : Vous pouvez supprimer vos photos à tout moment. La suppression est définitive et irréversible.
• Pas d'utilisation commerciale : Nous n'utilisons jamais vos photos à des fins publicitaires ou commerciales sans votre consentement écrit explicite.
• Métadonnées : Les métadonnées EXIF (localisation GPS, appareil) sont supprimées automatiquement lors du téléversement.

Les données de suivi hormonal (cycle menstruel) sont classées dans la catégorie de sensibilité maximale :

• Consentement distinct : L'activation du suivi hormonal requiert un consentement séparé et spécifique.
• Visibilité contrôlée : Par défaut, ces données ne sont PAS partagées avec votre coach. Vous devez explicitement activer le partage.
• Finalité limitée : Ces données sont utilisées uniquement pour adapter vos programmes d'entraînement et de récupération à votre cycle.
• Pas de profilage : Les données hormonales ne sont jamais utilisées à des fins de profilage publicitaire ou commercial.
• Suppression facile : Vous pouvez supprimer l'intégralité de vos données hormonales en un seul clic dans vos paramètres.
• Conformité : Le traitement de ces données respecte les exigences les plus strictes de la Loi 25 concernant les renseignements de nature médicale.

Nous conservons vos renseignements selon les durées suivantes :

Type de données	Durée de conservation
Données de compte	Durée de l'abonnement + 30 jours après suppression du compte
Données d'entraînement	Durée de l'abonnement + 30 jours
Photos de progression	Jusqu'à suppression par l'utilisateur ou 30 jours après fermeture du compte
Données hormonales	Jusqu'à suppression par l'utilisateur ou fermeture du compte
Données de paiement	7 ans (obligations fiscales canadiennes)
Communications coach-client	Durée de la relation de coaching + 90 jours
Journaux de connexion	12 mois
Données anonymisées/agrégées	Indéfiniment (aucune identification possible)

À l'expiration de ces délais, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.

En tant que résident du Québec, vous disposez des droits suivants :

• Droit d'accès : Vous pouvez demander une copie de tous les renseignements personnels que nous détenons à votre sujet. Nous répondrons dans un délai de 30 jours.
• Droit de rectification : Vous pouvez demander la correction de tout renseignement inexact ou incomplet.
• Droit à l'effacement (droit à l'oubli) : Vous pouvez demander la suppression de vos renseignements personnels, sous réserve de nos obligations légales de conservation.
• Droit à la portabilité : Vous pouvez demander de recevoir vos renseignements dans un format technologique structuré et couramment utilisé (JSON, CSV).
• Droit de retirer votre consentement : Vous pouvez retirer votre consentement à tout moment pour tout traitement basé sur le consentement. Le retrait n'affecte pas la légalité du traitement effectué avant le retrait.
• Droit à la désindexation : Vous pouvez demander que les liens associés à vos renseignements soient désindexés.
• Droit de plainte à la CAI : Vous avez le droit de déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) : www.cai.gouv.qc.ca

Pour exercer vos droits, envoyez un courriel à [email protected] avec la mention « Demande de droits — Loi 25 ». Nous répondrons dans les 30 jours civils.

En tant que citoyen canadien, vous disposez également des droits suivants en vertu de la LPRPDE :

• Droit d'accès : Vous pouvez demander l'accès à vos renseignements personnels détenus par MedFitness.
• Droit de correction : Vous pouvez demander la correction de renseignements inexacts ou incomplets.
• Droit de contester la conformité : Si vous estimez que nous ne respectons pas la LPRPDE, vous pouvez déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada : www.priv.gc.ca
• Droit de retirer le consentement : Vous pouvez retirer votre consentement sous réserve de restrictions légales ou contractuelles, avec un préavis raisonnable.

MedFitness n'est pas destiné aux enfants de moins de 14 ans. Conformément à la Loi 25 du Québec :

• Nous ne collectons pas sciemment de renseignements personnels auprès de personnes de moins de 14 ans.
• Pour les mineurs de 14 à 17 ans, le consentement d'un parent ou tuteur est requis pour la création de compte.
• Le consentement parental est requis pour la collecte de données de santé des mineurs.
• Si nous découvrons que nous avons collecté des renseignements d'un enfant de moins de 14 ans sans consentement parental, nous supprimerons ces données immédiatement.

Si vous êtes parent et croyez que votre enfant nous a fourni des renseignements sans votre consentement, contactez-nous à [email protected].

Nous utilisons des cookies et technologies similaires. Pour plus de détails, consultez notre Politique de cookies.

Cookies essentiels :

• Cookie d'authentification Supabase (nécessaire à la connexion)
• Préférence de thème (clair/sombre)
• Préférence de langue (fr/en)

Comment refuser les cookies :

• Via les paramètres de votre navigateur
• Via notre bannière de cookies lors de votre première visite
• Note : la désactivation des cookies essentiels peut empêcher le fonctionnement du service

Certaines de vos données peuvent être traitées en dehors du Canada, notamment aux États-Unis, par nos fournisseurs de services (Supabase, Stripe, Resend, Twilio).

Conformément à la Loi 25 et à la LPRPDE :

• Nous effectuons une évaluation des facteurs relatifs à la vie privée avant tout transfert international.
• Nos fournisseurs sont liés par des clauses contractuelles garantissant un niveau de protection équivalent à celui du Québec/Canada.
• Nous vérifions que les juridictions destinataires offrent un niveau de protection adéquat ou que des garanties supplémentaires sont en place.
• Vous pouvez obtenir des informations sur les politiques de confidentialité de nos fournisseurs sur demande.

Conformément à la Loi 25 (art. 3.5), en cas d'incident de confidentialité présentant un risque sérieux de préjudice :

• Nous notifierons la Commission d'accès à l'information (CAI) dans les meilleurs délais.
• Nous notifierons les personnes concernées dans un délai de 72 heures suivant la découverte de l'incident.
• La notification comprendra : la nature de l'incident, les données concernées, les mesures prises et les recommandations pour se protéger.
• Nous tiendrons un registre de tous les incidents de confidentialité pendant au moins 5 ans.

Nous pouvons modifier cette politique de confidentialité de temps à autre. En cas de modification substantielle :

• Nous vous informerons par courriel au moins 30 jours avant l'entrée en vigueur des changements.
• Un avis sera affiché dans l'application et sur le site web.
• La date de « dernière mise à jour » sera modifiée en haut de cette page.
• Pour les changements affectant le traitement de données sensibles (santé, photos, hormones), un nouveau consentement sera demandé.

Votre utilisation continue des services après la date d'entrée en vigueur constitue votre acceptation des modifications.

Pour toute question relative à cette politique ou pour exercer vos droits :

Organismes de réglementation :

• Commission d'accès à l'information du Québec (CAI) : www.cai.gouv.qc.ca
• Commissariat à la protection de la vie privée du Canada : www.priv.gc.ca