Politique de confidentialité

Mise à jour le 8 novembre 2026.

1. Qui est responsable

Le responsable du traitement des données de l'app Lapize et du serveur lapize.app est :

Pour toute question ou demande sur vos données, écrivez à cette adresse.

2. Le principe

• L'app marche sans compte : vos sorties sont enregistrées sur votre téléphone, et y restent.
• Vos sorties, vos mesures et votre position ne quittent le téléphone que si vous l'avez choisi : synchronisation, partage, position en direct, journaux des capteurs se règlent un par un. Les quelques envois techniques (tuiles de la carte, par exemple) sont décrits plus bas.
• Synchronisées avec un serveur Lapize (lapize-server), vos sorties sont chiffrées de bout en bout : le serveur les garde sans pouvoir les lire. Avec un autre serveur WebDAV, elles y vont en clair.
• Ni publicité, ni mesure d'audience, ni rapport de plantage, ni télémétrie. Le journal de l'app reste sur le téléphone, sans position ni clé.

3. Ce que l'app envoie, et à qui

• Synchronisation : vos sorties, vos séances sur home trainer, vos photos et vos playlists vont au serveur WebDAV que vous avez choisi (Nextcloud, NAS, serveur Lapize…) ; l'app n'en impose aucun. Une fois le serveur réglé, elle synchronise d'elle-même (à l'ouverture, après une sortie, en wifi, la nuit en charge). Le chiffrement de bout en bout ne vaut qu'avec lapize-server : sa clé est créée sur le téléphone quand vous l'associez au serveur.
• Position en direct : pour vos proches et les sorties communes, l'app envoie au serveur votre position, l'heure, la vitesse, la distance, le temps et la batterie, chiffrés : la clé est dans le lien que vous partagez, jamais envoyée au serveur. Le serveur oublie la position un jour après le dernier envoi (366 jours pour le lien permanent d'un proche), et les sorties communes deux jours après. Vos proches permanents reçoivent toutes vos sorties dehors.
• Séances à plusieurs : la puissance, et la voix si vous le voulez, passent de téléphone à téléphone (WebRTC), au besoin par les relais STUN/TURN de l'hébergeur du serveur, avec des identifiants éphémères. Le reste (votre profil : masse, CdA, FTP ; l'état du vélo, la position du meneur dehors, le parcours ou la séance, les arrivées) passe par le serveur chiffré de bout en bout : la clé de la salle est dans son lien, son QR code ou au bout de son code, jamais envoyée au serveur ; celle de la salle d'une séance planifiée passe d'un inscrit à l'autre, scellée pour chacun. Le serveur ne lit que les comptes présents, les équipages et le départ, et oublie la salle au bout de 12 heures.
• Carte : dans l'app et sur ce site une fois connecté, les tuiles de la carte viennent du serveur de votre compte (qui apprend la zone regardée), ou des cartes gardées hors ligne sur le téléphone ; sans compte, ou si ce serveur n'en a pas, elles viennent d'OpenStreetMap (tile.openstreetmap.org) : votre adresse IP et la zone regardée vont à la Fondation OpenStreetMap.
• Altitude de l'IGN : avec le réglage « altitude de la carte » (désactivé par défaut), l'app envoie des latitudes et longitudes à l'IGN (data.geopf.fr) : quelques points pendant la sortie et, sans baromètre, toute la trace rééchantillonnée après. Un fichier GPX importé y envoie ses points quel que soit le réglage. Le serveur interroge aussi l'IGN pour l'atlas des pentes.
• Journaux des capteurs : seulement si vous l'acceptez (désactivé par défaut), après les sorties dehors, en wifi, vers lapize.app. Ils sont rendus anonymes sur le téléphone : extraits de 5 minutes au plus, sans heure, sans position ni altitude absolue, cap tourné au hasard, sans compte ni cookie. Le serveur ne garde l'adresse IP qu'en mémoire, pour limiter le débit, et les extraits un an au plus.
• Annotations de l'étude posturale : à chaque étude posturale, après l'avertissement montré avant la prise de vue, en wifi, vers lapize.app : ce que le modèle de pose a vu sur chaque image (points du corps, roue avant, temps depuis le début de l'étude), avec le diamètre de la roue et la manivelle du vélo. Ni image, ni vidéo, ni nom, ni heure, sans compte ni cookie : rien ne les relie à vous. Le serveur ne garde l'adresse IP qu'en mémoire, pour limiter le débit, et les annotations un an au plus.
• Vidéos de l'étude posturale : à chaque étude posturale, en wifi, vers lapize.app : la vidéo de l'étude, visage compris (la position de la tête compte dans la lecture de la posture), et ses annotations. Un avertissement le dit avant la prise de vue, avec le choix de ne pas faire l'étude : c'est ainsi qu'on s'y oppose. Votre visage et votre silhouette vous font reconnaître : ce sont des données personnelles, traitées au titre de l'intérêt légitime de Coturnix SAS à améliorer l'étude posturale (art. 6.1.f du RGPD) : apprendre au modèle de pose à mieux voir le corps, et lire les études ; les garanties sont l'absence de compte et de nom, l'absence de toute publication, la durée limitée et le retrait. Sans compte, sans nom ni cookie : chaque envoi porte seulement un code tiré au hasard par le téléphone, dont le serveur ne garde que l'empreinte. Les vidéos sont gardées deux ans au plus, sur le serveur de lapize.app, et ne sont transmises à personne. Dans l'app (Réglages, « Vidéos de l'étude posturale »), vous pouvez à tout moment les faire effacer : l'app envoie ce code au serveur, qui efface toutes les vidéos parties de ce téléphone ; l'app désinstallée avant, le code est perdu et elles ne se retrouvent plus. Moins de 18 ans : l'étude se fait avec l'accord d'un parent.
• Comptage des capteurs : seulement si vous l'acceptez (désactivé par défaut), une fois par semaine, au seul serveur de synchronisation : la semaine, le genre et la marque de vos capteurs.
• Atlas des pentes : seulement si vous le choisissez sur ce site (désactivé par défaut) : les portions de trace que vous choisissez, jamais à moins d'un kilomètre de votre maison, sans heure. Le serveur relie à votre compte les tronçons que vous avez apportés ; la part publiée de l'atlas va aux pelotons fédérés choisis.
• Achats : dans la version du Play Store, par Google Play ; hors des boutiques, la licence s'achète sur le site, se paie par Revolut, et l'app la vérifie sans connexion.
• Mises à jour : la version Android téléchargée sur le site lit, à chaque lancement, la liste des versions sur lapize.app.
• Reconnaissance vocale : sur l'appareil seulement, jamais par un serveur.
• Sauvegarde d'Android : les secrets de l'app en sont exclus, mais vos sorties peuvent faire partie de la sauvegarde Google de votre appareil, si vous l'avez activée.

4. Ce que le serveur garde, pourquoi, combien de temps

Un compte sur un serveur Lapize se crée seulement sur invitation. Voici ce que garde le serveur (lapize-server) :

Le compte

Votre pseudo, le haché de votre mot de passe (Argon2id), vos clés de sécurité, le secret de votre code à 6 chiffres, vos mots de passe d'app (hachés), la clé publique de vos appareils, et qui vous a invité. Ni adresse e-mail ni nom réel. Les sessions durent 14 jours, et le serveur n'en garde que le haché.

Pourquoi : exécution du contrat, c'est-à-dire le service que vous avez demandé (art. 6.1.b du RGPD). Durée : jusqu'à la suppression du compte.

Ce qui est chiffré

Vos sorties, photos et playlists synchronisées, votre maison (que vos sorties publiques évitent), les statistiques d'équipe, la position en direct et les liens de partage : le serveur les garde sans pouvoir les lire.

Pourquoi : exécution du contrat, c'est-à-dire le service que vous avez demandé (art. 6.1.b du RGPD). Durée : jusqu'à ce que vous les supprimiez, ou que vous supprimiez votre compte (la position en direct : voir plus haut).

Ce que le serveur lit

Pour faire son travail, le serveur garde en clair : les en-têtes des fichiers chiffrés, qui partage avec qui (amis, équipes, clubs, abonnements), vos règles de partage, les bornes des portions de trace, vos sorties publiques (trace et photos, servies sans leurs métadonnées), les séances planifiées et les inscriptions, les jetons de calendrier, l'atlas des pentes et les compteurs de capteurs.

Pourquoi : exécution du contrat, c'est-à-dire le service que vous avez demandé (art. 6.1.b du RGPD) ; pour l'atlas des pentes et le comptage des capteurs, votre consentement (art. 6.1.a du RGPD), que vous retirez en désactivant le réglage. Durée : jusqu'à ce que vous les supprimiez, ou que vous supprimiez votre compte ; l'atlas et les compteurs de capteurs : [à compléter].

Les journaux des capteurs

Pourquoi : votre consentement (art. 6.1.a du RGPD), que vous retirez en désactivant le réglage. Durée : un an au plus (voir plus haut).

Les journaux techniques

Une ligne par requête : méthode, chemin, statut, durée et nom du coureur connecté. Le module de position en direct y écrit aussi les adresses IP.

Pourquoi : intérêt légitime : la sécurité et le bon fonctionnement du serveur (art. 6.1.f du RGPD). Durée : un an au plus (journal système de la machine).

Commandes et factures

Pour une commande d'aimants : nom, adresse postale, adresse e-mail, montant, référence du paiement Revolut et facture. Pour un club hébergé : adresse e-mail et facturation. Et les licences et coupons.

Pourquoi : exécution du contrat, c'est-à-dire le service que vous avez demandé (art. 6.1.b du RGPD) ; et l'obligation légale de garder les pièces comptables (art. 6.1.c du RGPD). Durée : 10 ans (obligations comptables).

5. Destinataires et sous-traitants

• L'hébergeur du serveur lapize.app : Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne ; la machine est dans son centre de données de Falkenstein (Allemagne).
• Revolut, pour les paiements.
• Un service d'envoi de courriels, pour les clubs hébergés : [à compléter : nom].
• Google (Google Play), pour les achats et l'installation par le Play Store.
• Apple, pour l'installation de l'app sur iPhone dans l'Union européenne.
• La Fondation OpenStreetMap, pour les tuiles de la carte.
• L'IGN (Institut national de l'information géographique et forestière), pour l'altitude.
• Les personnes avec qui vous partagez, selon vos règles de partage, et tout le monde pour vos sorties publiques.

6. Transferts hors de l'Union européenne

À notre connaissance, Lapize ne transfère pas vos données hors de l'Union européenne. Google, Apple et la Fondation OpenStreetMap traitent ce qui passe par eux (achats, installation, tuiles de la carte) selon leurs propres politiques, qui peuvent comprendre des transferts hors de l'Union.

7. Cookies et stockage du navigateur

Ce site ne pose que des cookies nécessaires, d'où l'absence de bandeau : le cookie de session (__Host-lapize_session : sécurisé, illisible par les scripts, envoyé seulement par ce site), 14 jours une fois connecté ; et, le temps de la connexion, la page où revenir ensuite (lapize_next), une demi-heure.

Le navigateur garde aussi, sur votre appareil seulement : la clé de votre coffre une fois ouvert (le temps de l'onglet, ou chiffrée sur l'appareil si vous demandez à vous en souvenir), et la licence et l'essai du home trainer.

8. Données de santé

La fréquence cardiaque (ceinture cardio, Apple Watch, montre Wear OS), la puissance, la cadence, les calories estimées et la FTP restent sur votre téléphone. Elles n'en sortent que dans ce que vous choisissez d'envoyer : les sorties que vous synchronisez (chiffrées de bout en bout avec un serveur lapize-server), partagez ou publiez, et une séance à plusieurs (puissance, profil).

Santé (iPhone) et Health Connect (Android)

Si vous l'acceptez dans la fenêtre du système, l'app lit, sans rien y écrire, votre sommeil des 36 dernières heures (enregistré par une montre, une bague, l'horaire de sommeil…). Elle n'en garde que la durée de chaque nuit, ou votre réponse à « Comment avez-vous dormi ? », pour un seul usage : le conseil du coach, qui propose une journée facile plutôt qu'une séance dure après une nuit courte (moins de 6 heures, moins de 8 avant 18 ans). Ni heures de coucher ni phases du sommeil, 14 nuits au plus, sur le téléphone seulement : jamais synchronisées, partagées ni envoyées à un serveur, jamais utilisées pour de la publicité ni vendues. Comme vos réglages, elles peuvent faire partie de la sauvegarde de votre appareil (iCloud, Google), si vous l'avez activée.

À partir de 18 ans, si vous l'acceptez aussi et n'avez pas dit votre poids dans l'app, l'app lit le dernier enregistré (balance, autre app). Elle n'en garde que le chiffre et sa date, pour un seul usage : le coach rapporte votre FTP à votre poids, et sous 2 W/kg il vous propose, à côté de la séance du jour, une séance libre au ressenti. Vous pouvez aussi dire votre poids dans l'app seulement (écran des vélos), sans le donner à Santé ni à Health Connect : celui que vous dites l'emporte toujours. Sur le téléphone seulement, jamais synchronisé, partagé ni envoyé à un serveur, jamais utilisé pour de la publicité ni vendu ; avant 18 ans, ni lu ni demandé.

Pour la fréquence cardiaque de l'Apple Watch, l'app lance une séance de Santé sur la montre, qui ne l'y enregistre pas. L'app n'écrit rien dans Santé ni dans Health Connect.

Pourquoi : votre consentement explicite (art. 9.2.a du RGPD), que vous retirez dans les réglages de Santé ou de Health Connect. Durée : 14 nuits au plus.

9. Vos droits

Vous avez le droit d'accéder à vos données, de les rectifier, de les effacer, d'en limiter le traitement, de vous y opposer, de les emporter (portabilité), et de retirer à tout moment un consentement donné.

• Télécharger mes données (une fois connecté) : les données de votre compte, dans une archive.
• Supprimer mon compte (une fois connecté).
• Ce qui est sur votre téléphone (sorties, réglages, journaux), vous le gardez, l'exportez ou l'effacez dans l'app.
• Pour tout le reste, écrivez à pe@coturnix.fr.

Vous pouvez aussi adresser une réclamation à la CNIL, l'autorité française de protection des données : cnil.fr.

10. Mineurs

L'app sans compte est ouverte à tous les âges : rien ne quitte alors le téléphone vers le serveur, et les achats passent par les contrôles parentaux d'Apple et de Google. Un compte (synchronisation, partages, séances à plusieurs, clubs) suit ces règles :

• À partir de 15 ans, chacun crée son compte seul, en cochant « J'ai 15 ans ou plus » à l'inscription ; le serveur garde la date de cette déclaration (art. 45 de la loi Informatique et Libertés).
• Avant 15 ans, un compte ne s'ouvre que sur une invitation « pour un enfant » : d'un parent, depuis son compte, qui coche « Je suis son parent (ou titulaire de l'autorité parentale) et j'accepte qu'il ait un compte » ; ou d'un administrateur de son club, qui coche « Le club a l'autorisation écrite d'un parent ». L'enfant donne sa date de naissance en s'inscrivant. Le serveur garde la date de l'attestation et qui l'a donnée. Le parent qui invite est lié au compte de l'enfant ; le club peut aussi nommer le compte d'un parent.
• Avant 15 ans, ses données d'entraînement (balades, mesures, séances) ne se partagent qu'avec ses parents. Ses sorties sans les chiffres (photos, tracé des portions choisies, playlists) peuvent aller à des amis qu'un parent a validés. Jamais au club, à une équipe, à un entraîneur ni au public : l'app et le serveur refusent. Il peut rouler dans les séances à plusieurs de son club, en direct seulement : rien de ses mesures n'est gardé ni montré après la séance.
• De 15 à 17 ans, il partage lui-même ses sorties sans les chiffres, à qui il veut, et peut le retirer à tout moment ; ce n'est jamais une condition de l'adhésion à un club, et aucun administrateur ne peut l'ouvrir à sa place.
• Le parent lié au compte voit depuis le sien ce que l'enfant partage, et valide ses amis.
• Avant 18 ans, tout ce qu'un mineur partage avec d'autres (photos, tracés, playlists) va aussi, d'office, à ses parents liés au compte, et il ne peut pas les en exclure (« Rien avec » ne vaut pas pour eux). Il le sait : ses réglages de partage le disent ; ceux qui reçoivent ses partages aussi.
• Pour les adhérents mineurs d'un club hébergé, le club est responsable du traitement (il connaît l'adhérent et garde l'autorisation parentale) ; l'hébergeur du serveur du club est son sous-traitant (art. 28 du RGPD).