Sommaire

• Préambule
• Article 1 — Responsable de traitement
• Article 2 — Périmètre de la présente politique
• Article 3 — Données personnelles collectées
• Article 4 — Finalités et bases légales des traitements
• Article 5 — Caractère obligatoire ou facultatif des données
• Article 6 — Destinataires des données
• Article 7 — Transferts de données hors Union européenne
• Article 8 — Durées de conservation
• Article 9 — Droits des personnes concernées
• Article 10 — Sécurité des données
• Article 11 — Cookies et traceurs
• Article 12 — Mineurs
• Article 13 — Caractère non médical du service
• Article 14 — Informations spécifiques aux applications mobiles
• Article 15 — Modifications de la présente politique
• Article 16 — Contact et réclamations

Politique de confidentialité de la plateforme SUUB

Date d'entrée en vigueur : 1er mai 2026

---

Préambule

La présente politique de confidentialité décrit la manière dont SUUB SAS (ci-après « SUUB » ou « nous ») collecte, utilise, conserve et protège les données personnelles des utilisateurs de la plateforme SUUB, accessible via l'application web suub.app et les applications mobiles SUUB pour iOS et Android (ci-après ensemble la « Plateforme »).

La présente politique est rédigée en application du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

Elle est distincte de la politique de confidentialité du site vitrine suub.fr, laquelle régit uniquement la consultation de ce site de présentation.

L'utilisateur est invité à lire attentivement le présent document avant toute utilisation de la Plateforme. L'utilisation de la Plateforme implique la prise de connaissance de la présente politique.

---

Article 1 — Responsable de traitement

Le responsable de traitement des données personnelles collectées via la Plateforme est :

SUUB SAS, Société par Actions Simplifiée au capital de 5 000 €

• SIREN : 102 487 261 — RCS Toulouse
• Siège social : 12 Allée du Docteur Lejzer Ludwik Zamenhof, Résidence Parc Étoile Bâtiment Airbus, 31100 Toulouse, France
• Email de contact : contact@suub.fr
• Représentant légal : Victor FILLETTE, Président

SUUB n'a pas désigné de Délégué à la Protection des Données (DPO) à ce jour. Toute demande relative à la protection des données personnelles peut être adressée à : contact@suub.fr.

---

Article 2 — Périmètre de la présente politique

La présente politique s'applique aux traitements de données personnelles réalisés dans le cadre de l'utilisation :

• de l'application web suub.app ;
• de l'application mobile SUUB pour iOS, distribuée via l'App Store ;
• de l'application mobile SUUB pour Android, distribuée via Google Play.

Elle ne couvre pas :

• le site vitrine suub.fr (politique distincte accessible à suub.fr/confidentialite) ;
• les sites tiers vers lesquels la Plateforme renvoie via des liens hypertextes ;
• les services tiers connectés à la Plateforme (Garmin Connect, Strava, Apple Health, etc.), lesquels sont soumis à leurs propres politiques de confidentialité.

---

Article 3 — Données personnelles collectées

SUUB collecte les catégories de données suivantes :

3.1 — Données collectées lors de l'inscription

Pour tous les utilisateurs :

• adresse email ;
• mot de passe (stocké de manière hachée et salée, jamais en clair) ;
• prénom et nom ;
• date de naissance (utilisée notamment pour vérifier la majorité des Coachs et l'âge minimum de 16 ans pour les Athlètes) ;
• sexe / genre (déclaratif) ;
• numéro de téléphone ;
• photo de profil (facultative).

Pour les Coachs uniquement :

• biographie et description professionnelle ;
• disciplines sportives pratiquées ;
• tarifs et offres d'abonnement proposées ;
• certifications et diplômes (uploadés à titre informatif).

L'inscription peut également être effectuée via les services d'authentification d'Apple (Sign in with Apple) ou de Google (Sign in with Google). Dans ce cas, SUUB reçoit l'adresse email et le nom communiqués par ces services, conformément aux conditions de ces derniers.

3.2 — Données d'identité et bancaires des Coachs (via Stripe)

Pour permettre aux Coachs de recevoir leur rémunération, le prestataire de paiement Stripe procède à une vérification d'identité (« KYC ») et collecte directement :

• pièce d'identité ;
• coordonnées bancaires (IBAN) ;
• justificatifs de statut juridique (SIRET, statuts) ;
• adresse postale.

Ces données sont collectées et conservées directement par Stripe, dans le cadre de ses propres traitements. SUUB n'a pas accès à ces données et ne les stocke pas sur ses serveurs.

3.3 — Données liées à l'activité sportive et au bien-être

L'Athlète peut, dans le cadre de son utilisation de la Plateforme, renseigner ou laisser collecter :

• données morphologiques : poids, taille, mensurations, indice de masse corporelle (IMC), pourcentage de masse grasse ;
• données de performance sportive : temps réalisés, charges soulevées, répétitions effectuées, distances parcourues, fréquence cardiaque pendant l'effort, puissance, allure, dénivelé ;
• objectifs sportifs : perte de poids, prise de masse, amélioration de performance, préparation à une compétition ;
• historique de blessures déclarées par l'Athlète au Coach, le cas échéant ;
• photographies de progression uploadées par l'Athlète (facultatif) ;
• journal nutritionnel : suivi alimentaire, apports caloriques, macronutriments (facultatif).

3.4 — Données de santé importées depuis des services tiers

Lorsque l'Athlète choisit de connecter son compte SUUB à un service tiers, SUUB collecte les données suivantes, sous réserve du consentement explicite de l'Athlète pour chaque service :

Apple Health (HealthKit, iOS uniquement) :

• fréquence cardiaque (au repos, à l'effort, variabilité) ;
• données de sommeil (durée, qualité, phases) ;
• poids ;
• nombre de pas, distance parcourue, calories actives ;
• séances d'entraînement enregistrées.

Google Fit / Health Connect (Android) :

• fréquence cardiaque ;
• données de sommeil ;
• poids ;
• activité physique (pas, distance, calories).

Garmin Connect (via API) :

• séances d'entraînement détaillées (durée, distance, allure, fréquence cardiaque, puissance, dénivelé, température) ;
• traces GPS des activités outdoor ;
• VO2max estimé ;
• niveau de stress et état physiologique ;
• données de sommeil ;
• statistiques quotidiennes (pas, calories).

Coros (via API) :

• séances d'entraînement détaillées ;
• traces GPS ;
• données physiologiques (charge d'entraînement, condition physique) ;
• fréquence cardiaque.

Strava (via API) :

• activités sportives enregistrées ;
• traces GPS des parcours ;
• statistiques d'activité (distance, dénivelé, allure, fréquence cardiaque) ;
• segments parcourus.

Capteurs Bluetooth (cardiofréquencemètres, montres, capteurs de puissance) :

• fréquence cardiaque en temps réel pendant la séance ;
• données de puissance, cadence, vitesse selon le capteur connecté.

⚠️ Les données importées via ces services constituent des données concernant la santé au sens de l'article 9 du RGPD. Leur traitement repose exclusivement sur le consentement explicite et révocable de l'Athlète, recueilli au moment de la connexion de chaque service tiers via une case à cocher dédiée et non pré-cochée.

L'Athlète peut à tout moment :

• révoquer son consentement depuis les paramètres de son compte ;
• déconnecter un service tiers spécifique ;
• demander la suppression des données importées via le service.

La révocation du consentement n'affecte pas la licéité des traitements effectués avant cette révocation.

3.5 — Données de communication

Dans le cadre des échanges entre Coachs et Athlètes via la Plateforme :

• contenu des messages texte échangés ;
• horodatages des messages ;
• statut de lecture des messages ;
• éventuelles photographies ou pièces jointes échangées.

3.6 — Données de paiement

Tous les paiements effectués sur la Plateforme sont traités par le prestataire de paiement Stripe. SUUB collecte et conserve uniquement :

• l'historique des transactions (montants, dates, statut, identifiant de transaction Stripe) ;
• les données de facturation (nom, adresse) ;
• le statut d'abonnement de l'Athlète.

Les données de carte bancaire ne transitent jamais par les serveurs de SUUB. Elles sont saisies directement sur l'interface sécurisée de Stripe et conservées exclusivement par Stripe, dans le respect des normes PCI-DSS.

3.7 — Données techniques et de connexion

Sont collectées automatiquement à chaque utilisation de la Plateforme :

• adresse IP ;
• type d'appareil (smartphone, tablette, ordinateur) ;
• système d'exploitation et version (iOS, Android, navigateur web) ;
• identifiants techniques de l'appareil ;
• identifiant publicitaire mobile (IDFA pour iOS, GAID pour Android) — uniquement si l'utilisateur n'a pas refusé le suivi via les paramètres système ;
• logs de connexion (date, heure, durée des sessions) ;
• pages consultées et actions effectuées dans l'application ;
• rapports de plantage (crash reports) anonymisés ;
• jeton de notification push (token Expo / APNS / FCM).

3.8 — Permissions accordées via les applications mobiles

L'application mobile SUUB peut demander à l'utilisateur l'accès aux fonctionnalités suivantes de son appareil. Chaque permission est facultative et révocable depuis les paramètres de l'appareil :

Le refus d'une permission n'empêche pas l'utilisation générale de la Plateforme, mais peut limiter l'accès à certaines fonctionnalités spécifiques.

---

Article 4 — Finalités et bases légales des traitements

L'utilisateur peut s'opposer à tout moment aux traitements fondés sur l'intérêt légitime en contactant SUUB à l'adresse contact@suub.fr.

L'utilisateur peut révoquer à tout moment son consentement aux traitements qui en dépendent (notamment les données de santé importées et les notifications push) sans que cela n'affecte la licéité des traitements antérieurs.

---

Article 5 — Caractère obligatoire ou facultatif des données

Les données indiquées comme obligatoires lors de l'inscription (email, mot de passe, prénom, nom, date de naissance) sont nécessaires à la création du compte et à la fourniture du service. À défaut, l'inscription ne peut être finalisée.

Les données facultatives (photo de profil, données sportives, données de santé importées, journal nutritionnel, etc.) peuvent être renseignées librement par l'utilisateur. Leur absence peut limiter certaines fonctionnalités de la Plateforme mais n'empêche pas son utilisation générale.

---

Article 6 — Destinataires des données

6.1 — Au sein de SUUB

Les données personnelles sont accessibles, dans la limite de leurs missions respectives, aux personnels habilités de SUUB :

• équipe technique (développement, maintenance, support) ;
• équipe support utilisateurs ;
• direction.

Tout accès aux données est tracé et limité au strict nécessaire (principe du « besoin d'en connaître »).

6.2 — Coachs et Athlètes (entre utilisateurs)

Dans le cadre de la mise en relation Coach/Athlète :

• le profil public du Coach (nom, photo, biographie, disciplines, offres, tarifs) est visible par tous les Athlètes ;
• les données sportives et de santé d'un Athlète sont accessibles uniquement à son ou ses Coachs avec lesquels il a souscrit un Abonnement actif ;
• les messages sont visibles uniquement entre le Coach et l'Athlète parties à la conversation ;
• aucun Athlète n'a accès aux données d'un autre Athlète.

6.3 — Sous-traitants techniques

SUUB fait appel aux sous-traitants suivants, qui agissent sur instruction et pour le compte de SUUB :

Tous les sous-traitants sont liés à SUUB par un contrat de sous-traitance conforme à l'article 28 du RGPD.

6.4 — Services tiers connectés à la demande de l'utilisateur

Lorsque l'Athlète choisit de connecter la Plateforme à un service tiers, des transferts de données ont lieu entre ce service et SUUB. Ces services tiers sont distincts de nos sous-traitants : ils agissent en tant que responsables de traitement autonomes pour les données qu'ils détiennent.

L'Athlète est invité à consulter les politiques de confidentialité de ces services tiers avant de procéder à une connexion. La déconnexion d'un service tiers depuis la Plateforme arrête immédiatement les nouveaux échanges de données.

6.5 — Autorités publiques

SUUB peut être amenée à transmettre certaines données aux autorités compétentes en cas d'obligation légale (réquisition judiciaire, enquête pénale, contrôle administratif).

6.6 — En cas d'opération sur SUUB

En cas de fusion, acquisition, cession d'activité ou opération de restructuration affectant SUUB, les données personnelles pourront être transférées au cessionnaire ou repreneur. Les utilisateurs en seront informés au préalable et pourront, le cas échéant, exercer leur droit d'opposition.

---

Article 7 — Transferts de données hors Union européenne

Une partie des sous-traitants et services tiers connectés sont établis aux États-Unis. Ces transferts sont encadrés par :

• les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne ;
• la certification Data Privacy Framework (DPF) lorsqu'elle est applicable au sous-traitant concerné ;
• des mesures de sécurité techniques (chiffrement en transit et au repos) renforçant la protection des données.

L'Utilisateur peut obtenir une copie des garanties mises en place pour ces transferts en adressant une demande à : contact@suub.fr.

---

Article 8 — Durées de conservation

À l'issue des durées de conservation, les données sont supprimées de manière sécurisée ou, si la loi l'impose, archivées dans un environnement à accès restreint pour la durée légale.

---

Article 9 — Droits des personnes concernées

Conformément aux articles 12 à 23 du RGPD, l'Utilisateur dispose des droits suivants sur ses données personnelles :

9.1 — Droit d'accès (article 15 RGPD)

Obtenir la confirmation que des données personnelles sont traitées et en recevoir une copie.

9.2 — Droit de rectification (article 16 RGPD)

Demander la correction de données inexactes ou incomplètes. La plupart des données peuvent être rectifiées directement depuis les paramètres du compte.

9.3 — Droit à l'effacement / « droit à l'oubli » (article 17 RGPD)

Demander la suppression de ses données, dans les cas prévus par le RGPD (données plus nécessaires, retrait du consentement, opposition, traitement illicite, obligation légale).

Ce droit ne s'applique pas aux données conservées au titre d'obligations légales (factures, données fiscales).

9.4 — Droit à la limitation du traitement (article 18 RGPD)

Demander le gel temporaire d'un traitement contesté (par exemple en attente de vérification d'exactitude).

9.5 — Droit à la portabilité (article 20 RGPD)

Recevoir ses données dans un format structuré, couramment utilisé et lisible par machine, ou demander leur transfert direct à un autre responsable de traitement.

9.6 — Droit d'opposition (article 21 RGPD)

S'opposer au traitement de ses données fondé sur l'intérêt légitime ou aux fins de prospection commerciale, à tout moment et sans justification.

9.7 — Droit de retirer son consentement (article 7 RGPD)

Retirer à tout moment le consentement précédemment donné pour un traitement spécifique (notamment pour les données de santé importées et les notifications push). Le retrait du consentement n'affecte pas la licéité des traitements antérieurs.

9.8 — Droit de définir le sort de ses données après son décès

Définir des directives relatives à la conservation, l'effacement ou la communication de ses données après son décès, conformément à l'article 85 de la loi Informatique et Libertés.

9.9 — Droit d'introduire une réclamation auprès de la CNIL

Introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Site web : www.cnil.fr
• Téléphone : 01 53 73 22 22

9.10 — Modalités d'exercice des droits

Pour exercer l'un de ces droits, l'Utilisateur peut :

• modifier directement ses informations depuis les paramètres de son compte ;
• adresser sa demande par courriel à : contact@suub.fr ;
• adresser sa demande par courrier postal à l'adresse du siège social.

SUUB pourra demander une preuve d'identité en cas de doute raisonnable sur l'identité du demandeur.

SUUB s'engage à répondre à toute demande dans un délai d'un (1) mois à compter de sa réception. En cas de demande complexe ou de demandes multiples, ce délai peut être prolongé de deux mois supplémentaires, l'Utilisateur en étant alors informé.

L'exercice de ces droits est gratuit, sauf en cas de demandes manifestement infondées ou excessives, auquel cas SUUB pourra exiger des frais raisonnables ou refuser de donner suite.

---

Article 10 — Sécurité des données

SUUB met en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité des données personnelles, conformément à l'article 32 du RGPD.

10.1 — Mesures techniques

• Chiffrement des données en transit : protocole HTTPS / TLS 1.2 minimum sur l'ensemble de la Plateforme (objectif TLS 1.3) ;
• Chiffrement des mots de passe : hachage avec algorithme robuste (bcrypt ou équivalent), jamais stockés en clair ;
• Chiffrement des données de santé au repos : les données concernant la santé importées depuis les services tiers (article 3.4) sont chiffrées dans la base de données ;
• Authentification renforcée : authentification à deux facteurs (2FA) prévue pour les comptes Coachs ;
• Pare-feu (UFW) et système de détection d'intrusion (fail2ban) sur le serveur ;
• Accès SSH sécurisé par clé cryptographique uniquement, accès root désactivé ;
• Mises à jour de sécurité automatiques du système d'exploitation ;
• Sauvegardes quotidiennes chiffrées de la base de données, conservées 30 jours ;
• Snapshots du serveur quotidiens (rétention 7 jours) ;
• Isolation réseau : base de données non accessible depuis Internet ;
• Limitation de débit (rate limiting) sur les endpoints sensibles pour prévenir les attaques.

10.2 — Mesures organisationnelles

• accès aux données limité au personnel habilité, sur la base du principe du « besoin d'en connaître » ;
• traçabilité des accès aux données sensibles ;
• engagements de confidentialité signés par les personnes ayant accès aux données ;
• procédure de gestion des violations de données conforme aux articles 33 et 34 du RGPD.

10.3 — Notification des violations de données

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, SUUB notifiera la CNIL dans les 72 heures suivant la prise de connaissance de la violation, conformément à l'article 33 du RGPD.

Si la violation est susceptible d'engendrer un risque élevé, les personnes concernées seront également informées dans les meilleurs délais (article 34 RGPD).

10.4 — Limites

Aucun système ne pouvant garantir une sécurité absolue, SUUB ne saurait être tenue responsable des conséquences d'une faille de sécurité imputable à un tiers, à l'utilisateur lui-même (mot de passe partagé, terminal compromis), ou à un cas de force majeure.

---

Article 11 — Cookies et traceurs

11.1 — Sur l'application web suub.app

L'application web suub.app n'utilise que des cookies strictement nécessaires à son fonctionnement :

• cookies de session et d'authentification ;
• cookies de préférences (langue, thème) ;
• jetons CSRF de protection contre les attaques.

Ces cookies sont exemptés de consentement préalable conformément à la délibération CNIL n° 2020-091. Aucun cookie de mesure d'audience non-anonymisée, de marketing ou de publicité n'est déposé sur suub.app.

Pour plus de détails, consulter la Politique de cookies de la Plateforme : suub.fr/plateforme/cookies.

11.2 — Sur les applications mobiles

Les applications mobiles iOS et Android n'utilisent pas de cookies au sens classique. Elles peuvent en revanche utiliser :

• des identifiants techniques stockés localement sur l'appareil (équivalents techniques aux cookies) pour maintenir la session et les préférences ;
• l'identifiant publicitaire mobile (IDFA / GAID) à des fins limitées (anti-fraude, analyse anonymisée des plantages), uniquement si l'utilisateur n'a pas refusé le suivi via les paramètres système de son appareil.

---

Article 12 — Mineurs

L'inscription sur la Plateforme est interdite aux mineurs de moins de 16 ans.

Les mineurs âgés de 16 à 18 ans peuvent s'inscrire sous réserve de disposer de l'autorisation expresse et préalable de leur représentant légal. Cette autorisation est recueillie par voie déclarative lors de l'inscription (case à cocher dédiée).

Le représentant légal d'un mineur peut à tout moment :

• demander l'accès aux données de son enfant ;
• demander la rectification ou la suppression du compte ;
• exercer les droits prévus à l'article 9 de la présente politique.

Pour ce faire, il peut adresser sa demande à contact@suub.fr en justifiant de sa qualité de représentant légal.

SUUB se réserve le droit de suspendre ou de clôturer sans préavis tout compte qui aurait été créé par un mineur de moins de 16 ans, ou par un mineur de 16 à 18 ans sans autorisation parentale effective.

---

Article 13 — Caractère non médical du service

L'Utilisateur est expressément informé que :

• la Plateforme ne fournit en aucun cas un service médical, paramédical ou de santé au sens du Code de la santé publique ;
• les Coachs présents sur la Plateforme ne sont pas des professionnels de santé et n'agissent pas en cette qualité ;
• les contenus, programmes et conseils proposés sur la Plateforme ne constituent ni un diagnostic, ni une prescription, ni un avis médical ;
• les données collectées sont utilisées dans une finalité de coaching sportif et de bien-être, et non dans une finalité médicale, thérapeutique ou de prévention sanitaire.

L'Utilisateur est invité à consulter un professionnel de santé avant d'entreprendre tout programme d'entraînement, particulièrement en cas d'antécédents médicaux, de pathologies, de grossesse, ou de reprise d'activité après une période d'inactivité prolongée.

À ce titre, SUUB n'est pas soumise à l'obligation d'hébergement de données de santé certifié (HDS) au sens de l'article L.1111-8 du Code de la santé publique.

---

Article 14 — Informations spécifiques aux applications mobiles

14.1 — Apple App Store

Conformément aux exigences d'Apple, les pratiques de SUUB en matière de confidentialité sont déclarées dans le Privacy Nutrition Label de l'application, accessible depuis la fiche de l'app sur l'App Store. Ce label résume les catégories de données collectées et leurs finalités.

14.2 — Google Play Store

Conformément aux exigences de Google, les pratiques de SUUB sont déclarées dans la section Sécurité des données (Data Safety) de l'application, accessible depuis la fiche de l'app sur Google Play.

14.3 — Authentification via Apple ou Google

L'utilisateur peut choisir de s'authentifier via Sign in with Apple ou Sign in with Google. Ces services transmettent à SUUB uniquement les informations strictement nécessaires (email, nom). L'utilisateur peut, via Sign in with Apple, choisir de masquer son adresse email réelle au profit d'une adresse relais.

---

Article 15 — Modifications de la présente politique

SUUB se réserve le droit de modifier la présente politique à tout moment, notamment pour l'adapter à des évolutions légales, réglementaires, jurisprudentielles ou techniques.

En cas de modification substantielle, les Utilisateurs en seront informés par un message in-app ou par courriel au moins 30 jours avant l'entrée en vigueur de la nouvelle version.

La date de dernière mise à jour est indiquée en tête du présent document.

---

Article 16 — Contact et réclamations

Pour toute question relative à la présente politique de confidentialité ou pour exercer les droits prévus à l'article 9 :

• Email : contact@suub.fr
• Courrier postal : SUUB SAS — 12 Allée du Docteur Lejzer Ludwik Zamenhof, Résidence Parc Étoile Bâtiment Airbus, 31100 Toulouse, France

Si l'utilisateur estime, après nous avoir contactés, que ses droits ne sont pas respectés, il peut introduire une réclamation auprès de la CNIL :

• Site web : www.cnil.fr
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22

---

Date d'entrée en vigueur : 1er mai 2026 Dernière mise à jour : 1er mai 2026 Contact : contact@suub.fr