Politique de confidentialité

Mise à jour : 3 octobre 2026

Ceci est une traduction. En cas de doute, la version allemande fait foi.

Liftando est une app d’entraînement et de nutrition. À cette fin, nous traitons des données sur ton corps, ton alimentation et ton entraînement, c’est-à-dire des données de santé. La présente politique t’indique de quelles données il s’agit, à quoi elles nous servent, qui d’autre que nous y a accès et quels sont tes droits. Elle s’applique au site web et à l’app accessibles à l’adresse https://liftando.com.

La loi fédérale suisse sur la protection des données (LPD) est déterminante. Si tu résides dans l’Union européenne ou dans l’EEE, le règlement général sur la protection des données (RGPD) s’applique en outre. Lorsque les deux textes emploient des termes différents, nous mentionnons les deux.

1. Responsable du traitement

Le responsable du traitement de tes données personnelles est :

Pour toute question relative à la protection des données, tu peux nous joindre à l’adresse [à compléter : adresse e-mail]. Représentant dans l’UE au sens de l’art. 27 RGPD : [à compléter : nom et adresse du représentant dans l’UE, si nécessaire].

2. Données que nous traitons

Données de compte

• Nom, adresse e-mail, fuseau horaire et, en option, une photo de profil
• Ton mot de passe, uniquement sous forme de hachage irréversible (PBKDF2), ainsi que les clés publiques de tes clés d’accès
• La date et l’heure de tes consentements et de ton inscription

Données de santé et données corporelles

Ces données sont des données personnelles sensibles au sens de la LPD et des données concernant la santé au sens de l’art. 9 RGPD :

• sexe, date de naissance, taille, poids, taux de masse grasse, mensurations et photos de progrès
• objectifs, activité quotidienne, expérience d’entraînement, régime alimentaire, allergies et aversions
• journal alimentaire, eau, compléments, recettes, plans de repas et listes de courses
• séances, séries, programmes, routines et records personnels
• valeurs calculées à partir de ces données, comme les objectifs caloriques et de macronutriments, la tendance du poids, les besoins énergétiques estimés, les séries et les succès

Données provenant de sources connectées

Uniquement si tu configures une source sous « Réglages › Connexions », Liftando en reprend :

• Depuis Apple Santé (via un raccourci sur ton iPhone ou sous forme de fichier d’export) et, à l’avenir, depuis Health Connect (Android) : les valeurs quotidiennes de pas, d’énergie active, de pouls au repos et de variabilité de la fréquence cardiaque, les nuits avec début, fin, durée et phases du sommeil, le poids, le pourcentage de masse grasse ainsi que les séances avec type, heure, distance, énergie et pouls
• Depuis Strava : tes activités avec titre, sport, heure, distance, énergie et pouls
• Pour chaque valeur, sa source, afin que tu voies d’où elle vient

Liftando lit un export Santé directement dans ton navigateur. Seules les valeurs quotidiennes, nuits, pesées et séances mentionnées arrivent sur notre serveur, pas le fichier lui-même ni des données brutes comme les mesures de pouls individuelles, les itinéraires ou les dossiers médicaux.

Contenus destinés au coach IA

Uniquement si tu actives les fonctions d’IA : tes messages au coach et ses réponses, les photos de repas et les enregistrements vocaux que tu envoies pour la reconnaissance. Plus de détails à la section 5.

Données techniques

• Les sessions ouvertes, avec la désignation de l’appareil (User-Agent), la date et l’heure de la connexion et de la dernière utilisation
• L’adresse IP de tes requêtes : pour la protection contre les abus (limitation du nombre de requêtes, protection contre les bots) et dans des journaux de serveur conservés peu de temps ; nous ne l’enregistrons pas dans ton compte
• Pour les rappels, l’adresse push de ton appareil et tes réglages de rappel
• Des compteurs d’utilisation quotidienne des fonctions d’IA
• Les jetons d’import personnels avec leur nom, leur date de création et leur dernière utilisation ; le jeton lui-même n’est enregistré que sous forme de hachage
• Si tu connectes Strava : ton identifiant d’athlète Strava, ton prénom et les clés d’accès de Strava, enregistrées sous forme chiffrée

Nous n’utilisons aucun outil d’analyse ni de publicité, ne créons aucun profil d’utilisation à des fins de marketing et ne vendons aucune donnée.

3. Finalités et bases juridiques

Au regard de la LPD, nous traitons tes données conformément aux principes de l’art. 6 LPD. Pour les données personnelles sensibles, nous recueillons ton consentement exprès (art. 6, al. 7, LPD).

Liftando calcule automatiquement des objectifs et des suggestions à partir de tes données. Il s’agit de recommandations : l’app ne prend aucune décision produisant des effets juridiques ou des conséquences d’une importance comparable. C’est toi qui appliques les modifications de tes objectifs.

4. Consentement au traitement des données de santé

Lors de ton inscription, tu consens expressément à ce que Liftando traite tes données de santé aux fins indiquées. Sans ce consentement, nous ne pouvons pas te proposer l’app, car chacune de ses fonctions repose sur ces données.

Tu peux retirer ton consentement à tout moment en supprimant ton compte (« Réglages › Données et confidentialité »). Nous effaçons alors immédiatement toutes les données. Le retrait du consentement ne compromet pas la licéité du traitement effectué avant ce retrait. Tu retires séparément ton consentement aux fonctions d’IA à l’aide d’un bouton dans les réglages, sans perdre ton compte.

Liftando s’adresse aux personnes âgées d’au moins 16 ans.

5. Fonctions d’IA

Les fonctions d’IA sont facultatives et désactivées par défaut. Nous n’envoyons des données à des modèles d’IA qu’après que tu les as activées dans l’app et que tu y as consenti :

• Coach : ton message et les données nécessaires à la réponse, par exemple ton profil, tes objectifs, les entrées de ton journal, tes séances ou la tendance de ton poids
• Reconnaissance : la photo d’un repas ou ton enregistrement vocal, afin de reconnaître des aliments, des quantités ou des séries
• Plans : ton objectif, ton équipement, ton régime alimentaire et tes allergies, afin de créer un programme ou un plan de repas

Les modèles sont exécutés sur Cloudflare Workers AI. Les requêtes transitent par Cloudflare AI Gateway, qui journalise la date et l’heure, le modèle et le volume des requêtes à des fins de contrôle des coûts et de protection contre les abus. Cloudflare traite les contenus pour notre compte et ne les utilise pas pour entraîner des modèles. Le calcul peut avoir lieu dans des centres de données de Cloudflare situés hors de Suisse et de l’UE (section 7).

Nous ne transmettons jamais les activités Strava à des modèles d’IA, pas même au coach.

Nous ne conservons pas les photos et les enregistrements vocaux destinés à la reconnaissance. Les conversations avec le coach restent dans ton compte jusqu’à ce que tu les supprimes ou que tu supprimes ton compte. Les réponses de l’IA sont des estimations et peuvent être erronées. Le coach ne pose pas de diagnostic.

6. Destinataires et sous-traitants

Nous ne transmettons tes données qu’à des prestataires qui les traitent pour notre compte et selon nos instructions, ou lorsque la loi nous y oblige.

Nous diffusons nous-mêmes les polices, les images d’exercices et tous les autres fichiers. Aucun contenu de fournisseurs tiers, comme Google Fonts ou des réseaux publicitaires, n’est chargé.

7. Traitement à l’étranger

La base de données et les fichiers sont hébergés dans des centres de données de Cloudflare situés dans l’Union européenne (juridiction de l’UE). Cloudflare a son siège aux États-Unis ; dans le cadre de l’exploitation, de la distribution via le réseau mondial et des fonctions d’IA, des données peuvent être traitées aux États-Unis ou dans d’autres pays. Cloudflare dispose d’une certification au titre de l’EU-US Data Privacy Framework et du Swiss-US Data Privacy Framework, que la Commission européenne et le Conseil fédéral reconnaissent comme adéquats. En outre, les clauses contractuelles types de la Commission européenne s’appliquent dans le contrat de sous-traitance de Cloudflare, complétées par les adaptations nécessaires pour la Suisse.

8. Cookies et stockage sur ton appareil

Liftando utilise un seul cookie : __Host-liftora_session. Il maintient ta session ouverte, est techniquement nécessaire à l’utilisation, n’est valable que pour ce site web, n’est pas lisible par les scripts et expire 30 jours après la dernière utilisation. C’est pourquoi nous n’avons pas besoin de bannière de cookies.

Pour que l’app fonctionne aussi à la salle de sport sans réseau, elle enregistre sur ton appareil :

• une copie de tes dernières données chargées (IndexedDB, datant de 24 heures au plus)
• les modifications qui n’ont pas encore été transmises et une séance en cours (IndexedDB)
• les fichiers de l’app et les images d’exercices (cache du Service Worker)
• ton choix entre le thème clair et le thème sombre (Local Storage)

Lorsque tu te déconnectes ou que tu supprimes ton compte, l’app efface les données enregistrées. Tu peux aussi les effacer à tout moment dans les paramètres de ton navigateur.

Lors de l’inscription, de la connexion et de la réinitialisation du mot de passe, Cloudflare Turnstile vérifie que la requête émane bien d’un être humain. Pour ce faire, Turnstile analyse des caractéristiques de ton navigateur et ton adresse IP, mais ne dépose aucun cookie de suivi.

9. Notifications et e-mails

Nous ne t’envoyons des rappels que si tu autorises les notifications dans ton navigateur et que tu configures des rappels. Tu peux désactiver l’un et l’autre à tout moment dans les réglages de l’app ou de ton appareil. Tu ne reçois des e-mails que pour la sécurité de ton compte : confirmation de l’adresse, nouveau mot de passe, mot de passe modifié et confirmation de la suppression du compte. Nous n’envoyons ni newsletter ni publicité.

10. Durée de conservation

• Données de compte et de santé, photos, conversations avec le coach : aussi longtemps que ton compte existe. Si tu supprimes ton compte ou une photo, nous effaçons immédiatement les données de la base de données et du stockage de fichiers. Si tu supprimes des entrées individuelles, elles cessent immédiatement d’être visibles ; pour que la synchronisation entre tes appareils fonctionne, elles restent marquées comme supprimées pendant 30 jours au plus, puis sont définitivement effacées. Toutes les données disparaissent des points de restauration automatiques de la base de données au plus tard après 30 jours.
• Sessions : jusqu’à la déconnexion, au plus tard 30 jours après la dernière utilisation et 180 jours après la connexion
• Liens dans les e-mails : 1 heure (mot de passe) ou 24 heures (confirmation), puis supprimés
• Journaux de serveur : 7 jours au plus
• Adresses push : jusqu’à ce que tu désactives les notifications ou que le service push les déclare non valides
• Données importées : jusqu’à ce que tu les supprimes sous « Réglages › Connexions » ou que tu supprimes ton compte. Si tu déconnectes Strava ou retires l’accès de Liftando sur strava.com, nous supprimons immédiatement les données importées de Strava, au plus tard dans les 48 heures
• Jetons d’import : jusqu’à ce que tu les révoques ; demandes de connexion à Strava : 10 minutes

11. Sécurité des données

Toutes les connexions sont chiffrées (HTTPS avec HSTS). Nous n’enregistrons les mots de passe que sous forme de hachage, de même que les jetons de session, d’e-mail et d’import. Nous enregistrons les clés d’accès de Strava chiffrées avec AES-GCM. Un jeton d’import permet uniquement d’importer des données dans ton compte. Chaque requête est limitée à ton compte, et les photos ne sont accessibles qu’à toi. Les données sont stockées sous forme chiffrée chez Cloudflare. Aucune protection n’est parfaite ; si nous constatons une violation de la sécurité des données, nous t’en informons, ainsi que les autorités compétentes, conformément aux exigences légales.

12. Tes droits

En vertu de la LPD et du RGPD, tu disposes des droits suivants :

• droit d’accès à tes données (art. 25 LPD, art. 15 RGPD)
• droit de rectification des données inexactes (art. 32 LPD, art. 16 RGPD)
• droit à l’effacement (art. 32 LPD, art. 17 RGPD)
• droit à la remise et à la transmission de tes données (art. 28 LPD, art. 20 RGPD)
• droit à la limitation du traitement et droit d’opposition (art. 18 et 21 RGPD)
• droit de retirer tes consentements avec effet pour l’avenir
• droit d’introduire une réclamation auprès d’une autorité de surveillance

Tu exerces la plupart de ces droits directement dans l’app : sous « Réglages › Données et confidentialité », tu peux télécharger toutes tes données sous forme de fichier ZIP (JSON, tableaux CSV et photos) ou supprimer ton compte. Sous « Réglages › Connexions », tu peux déconnecter des sources et supprimer les données importées. Pour toute autre demande, écris-nous à [à compléter : adresse e-mail]. Nous répondons dans un délai de 30 jours et pouvons au préalable vérifier que la demande émane bien de toi.

13. Autorités de surveillance

En Suisse : le Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.

Dans l’UE et l’EEE : l’autorité de protection des données du pays dans lequel tu résides ou travailles, ou dans lequel la violation présumée a eu lieu. Tu en trouveras la liste sur le site du comité européen de la protection des données.

14. Modifications

Nous adaptons la présente politique lorsque l’app ou la situation juridique évolue. C’est la version publiée ici qui s’applique. Nous t’informons des modifications importantes dans l’app.