MOOVAOU traite des données relatives à votre activité physique, qui constituent des données de santé au sens de l'article 9 du règlement général sur la protection des données. La présente politique décrit les données collectées, les finalités poursuivies, les bases légales, les durées de conservation, les destinataires et les droits dont vous disposez.
Dernière mise à jour :
date de mise en ligne à fixer
SECTION 1Responsable du traitement
Le site et l'application MOOVAOU relèvent d'un même responsable de traitement : NEOHEALTH, éditeur de MOOVAOU. Le site est exploité pour son compte par Naido, marque d'Ito Ito SAS, qui recueille les inscriptions à la liste d'attente et les demandes des enseignes en qualité de sous-traitant.
Responsable du traitement
NEOHEALTH, éditeur de MOOVAOU : liste d'attente, demandes des enseignes et, à compter de son ouverture, application.
Sous-traitant chargé du site
Ito Ito SAS, exerçant sous la marque Naido. Coordonnées complètes dans les mentions légales.
Interlocuteur pour les données personnelles
adresse électronique RGPD à fournir
Délégué à la protection des données
Aucun délégué n'est désigné à ce jour. La désignation deviendra obligatoire si le suivi d'activité atteint la grande échelle au sens de l'article 37.1.b du règlement.
À VALIDER PAR NEOHEALTH
La maquette désignait Ito Ito SAS comme responsable du traitement du site et interlocuteur unique jusqu'à l'ouverture de l'application. Le 10/09, NEOHEALTH a été retenu comme responsable de traitement de la liste d'attente, Ito Ito intervenant comme sous-traitant : cette section, l'interlocuteur pour les données personnelles et la liste des sous-traitants suivent cette décision. Ont aussi été ajoutés à l'intégration : le système du téléphone et la campagne d'arrivée recueillis avec la liste d'attente (sections 2 et 4), les demandes des enseignes (sections 2, 4 et 5), les durées que la note de la section 5 annonçait, et la base de données de la liste d'attente (sections 6 et 7). À relire.
SECTION 2Données collectées
Les données ci-dessous sont collectées soit parce que vous les saisissez, soit parce que l'application les mesure, soit parce qu'elles sont produites par votre usage du service.
Données collectées
Catégorie
Détail
Origine
Identité et compte
Prénom, adresse électronique, mot de passe chiffré, date de création du compte.
Saisie par vous
Activité physique
Nombre de pas, distance, durée, type d'activité, horodatage.
Capteurs du téléphone
Localisation
Position pendant un trajet enregistré, et présence dans une zone à points multipliés.
Modèle du téléphone, version du système, identifiant technique de l'application, journaux d'erreur.
Collectée automatiquement
Liste d'attente
Prénom et adresse électronique saisis avant le lancement, système du téléphone (iPhone ou Android), campagne par laquelle vous êtes arrivé sur le site le cas échéant.
Saisie sur le site ; système déduit du navigateur sur téléphone, demandé sinon
Demandes des enseignes
Nom de l'enseigne, personne à joindre, adresse électronique ou numéro de téléphone professionnels.
Saisie sur le site
Quand vous vous inscrivez depuis un téléphone, le système est déduit de l'identifiant que tout navigateur transmet avec chaque page demandée : rien n'est lu sur votre appareil, et le formulaire ne vous demande rien. Quand il ne peut pas être déduit, par exemple depuis un ordinateur ou une tablette, le formulaire vous demande de l'indiquer. Il sert à vous indiquer, dans le message du lancement, la boutique d'applications qui vous concerne.
SECTION 3Données de santé
Le nombre de pas, la distance parcourue et le type d'activité renseignent sur votre condition physique. Le règlement général sur la protection des données les range parmi les données de santé, protégées par son article 9.
Le traitement de ces données repose sur votre consentement explicite, au sens de l'article 9.2.a du règlement. Ce consentement est recueilli à la création du compte, par un acte distinct de l'acceptation des conditions générales. Il peut être refusé ; dans ce cas, le service ne peut pas être fourni.
Vous pouvez retirer votre consentement à tout moment depuis les réglages de l'application. Le retrait met fin au comptage, supprime les données d'activité et ferme le compte. Il ne remet pas en cause la licéité des traitements effectués avant le retrait.
SECTION 4Finalités et bases légales
Chaque traitement poursuit une finalité déterminée et repose sur une base légale identifiée.
Finalités et bases légales
Finalité
Ce que cela permet
Base légale
Faire fonctionner le compte
Créer le compte, vous identifier, vous permettre de vous connecter.
Exécution du contrat
Compter les activités
Mesurer vos déplacements et les convertir en points.
Consentement explicite (article 9)
Organiser les défis
Enregistrer vos mises, procéder au tirage au sort, vous prévenir si vous gagnez.
Exécution du contrat
Mesurer l'audience du service
Comprendre quelles fonctionnalités sont utilisées, et corriger ce qui ne l'est pas.
Intérêt légitime
Rendre compte aux partenaires
Communiquer à l'enseigne le nombre de participants à son défi, en agrégé.
Intérêt légitime
Prévenir du lancement
Écrire aux inscrits de la liste d'attente le jour de l'ouverture.
Consentement
Répondre aux enseignes
Recontacter l’enseigne qui a rempli le formulaire de la page Devenir partenaire.
Mesures précontractuelles prises à sa demande
Aucune donnée n'est utilisée à des fins de publicité ciblée, de profilage commercial ou de décision automatisée produisant des effets juridiques.
SECTION 5Durées de conservation
Les données ne sont pas conservées au-delà de ce qu'exige la finalité qui les justifie.
Compte et données associées
Trente jours après la suppression du compte.
Détail de l'activité physique
Vingt-quatre mois.
Journaux techniques
Douze mois.
Liste d'attente
Jusqu'au lancement de l'application, ou jusqu'à votre désinscription.
Demandes des enseignes
Trois ans après le dernier échange.
À VALIDER PAR NEOHEALTH
Les durées ci-dessus sont proposées par Naido, le client ne les a pas fournies. Trente jours après suppression correspondent au délai usuel de rattrapage d'une suppression accidentelle. Vingt-quatre mois de détail sur l'activité couvrent une comparaison d'une année sur l'autre sans conserver indéfiniment de la donnée de santé. Douze mois de journaux techniques suivent la recommandation de la CNIL, trois ans pour les demandes des enseignes la durée qu'elle admet pour un prospect. NEOHEALTH peut raccourcir chacune de ces durées ; les allonger demanderait une justification écrite au registre des traitements.
SECTION 6Destinataires des données
Vos données sont accessibles aux personnes qui en ont besoin pour faire fonctionner le service, et à elles seules.
L'équipe de l'éditeur, dans la limite de ses attributions et sous engagement de confidentialité.
Ito Ito SAS, prestataire technique qui exploite le site, développe et maintient l'application, lié par un contrat de sous-traitance au sens de l'article 28 du règlement.
L'hébergeur, qui stocke les données sans y accéder.
Les enseignes partenaires, qui reçoivent uniquement des données agrégées : nombre de participants à leur défi, points misés, période. Aucune donnée individuelle ne leur est transmise.
Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.
Sous-traitants
Vercel Inc. pour l'hébergement du site ; Neon Inc. pour la base de données de la liste d'attente et des demandes des enseignes. hébergeur de l'application à confirmer
À RENSEIGNER PAR NEOHEALTH
La liste des sous-traitants sera complète quand l'hébergeur de l'application sera arrêté. Le contrat de sous-traitance entre NEOHEALTH et Ito Ito, daté au 25/09 au rétroplanning, doit être signé avant que l'application ne collecte la moindre donnée de santé.
SECTION 7Hébergement et transferts
Les données de l'application sont hébergées sur des serveurs situés en France métropolitaine, la base de données étant chiffrée au repos. Le site est servi par Vercel Inc. : les inscriptions à la liste d'attente sont traitées à Paris et conservées à Francfort, dans une base opérée par Neon Inc.
Serveurs de l'application
France métropolitaine.
Serveurs du site
Traitement à Paris, base de données à Francfort (Allemagne).
Transferts hors Union européenne
Vercel Inc. et Neon Inc. sont des sociétés établies aux États-Unis. L'accès qu'elles peuvent avoir aux données de la liste d'attente est encadré par les clauses contractuelles types de la Commission européenne. Aucun autre transfert n'est prévu.
À COMPLÉTER · NAIDO / ITO ITO
La localisation des serveurs de l'application est décidée : France métropolitaine. L'hébergeur qui la portera ne l'est pas encore. Sa raison sociale rejoindra cette section et les mentions légales à la migration d'infrastructure.
SECTION 8Droits des personnes concernées
Le règlement vous reconnaît des droits que vous pouvez exercer à tout moment, gratuitement.
Accès : obtenir la confirmation qu'un traitement existe et en recevoir une copie.
Rectification : corriger une donnée inexacte ou incomplète.
Effacement : demander la suppression de vos données, sous réserve des obligations légales de conservation.
Portabilité : recevoir vos données dans un format lisible par machine, ou en demander le transfert.
Opposition : vous opposer à un traitement fondé sur l'intérêt légitime.
Limitation : demander le gel d'un traitement le temps d'une vérification.
Retrait du consentement : mettre fin, pour l'avenir, au traitement de vos données d'activité.
L'application permet d'exporter et de supprimer vos données depuis les réglages du compte. Pour toute autre demande, écrivez à l'interlocuteur indiqué en section 1 ; une réponse vous est due dans un délai d'un mois.
Adresse pour exercer vos droits
La même que celle de l'interlocuteur indiqué en section 1.
SECTION 9Cookies et traceurs
Le site utilise les cookies strictement nécessaires à son fonctionnement, qui ne demandent pas votre consentement.
Aucun outil de mesure d'audience n'est en place à ce jour, et aucun bandeau de consentement n'est donc affiché. Si un outil est ajouté, il sera configuré de manière à être exempté de consentement selon les recommandations de la Commission nationale de l'informatique et des libertés ; à défaut, un bandeau sera mis en place avant tout dépôt.
Outil de mesure d'audience
Aucun à ce jour.
Bandeau de consentement
Sans objet tant qu'aucun cookie non essentiel n'est déposé.
À VALIDER PAR NEOHEALTH
L'absence de mesure d'audience est une décision de Naido, pas un oubli. Elle évite le bandeau de consentement sur une page dont l'unique objectif est une inscription, et le taux de conversion se lit dans le nombre d'inscrits. Si NEOHEALTH veut une mesure plus fine, l'outil retenu et son mode de configuration doivent être arrêtés avant la mise en ligne.
SECTION 10Sécurité des données
L'éditeur met en œuvre des mesures techniques et organisationnelles adaptées au caractère sensible des données traitées : chiffrement de la base au repos, chiffrement des échanges, cloisonnement des environnements, contrôle des accès, journalisation.
Un audit de sécurité fondé sur le référentiel OWASP est conduit avant la mise en production. En cas de violation de données susceptible d'engendrer un risque pour vos droits, la Commission nationale de l'informatique et des libertés est notifiée dans les soixante-douze heures et, si le risque est élevé, vous en êtes informé directement.
SECTION 11Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou depuis son site.
SECTION 12Modification de la politique
Cette politique peut être modifiée pour tenir compte d'une évolution du service ou de la réglementation. Toute modification substantielle vous est signalée dans l'application et par courrier électronique avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.
