Politique de confidentialité

1. Introduction

Ce texte est une traduction fournie pour votre commodité. En cas de divergence, la version anglaise disponible sur studpulse.com/privacy.html fait foi.

StudPulse (« nous », « notre ») exploite la plateforme StudPulse — un système de gestion équine nativement fondé sur l’IA, destiné à l’élevage, à la pension et à la gestion de haras.

La présente Politique de confidentialité explique quelles données à caractère personnel nous collectons, pourquoi nous les collectons et comment nous les protégeons. Elle est conçue pour respecter le Règlement général sur la protection des données (RGPD), le règlement de l’Union européenne sur l’intelligence artificielle (AI Act) ainsi que les lois américaines applicables en matière de vie privée, notamment le California Consumer Privacy Act (CCPA/CPRA), le CAN-SPAM Act, COPPA et la Nevada Privacy Law (SB 220).

Les serveurs applicatifs et les bases de données de StudPulse sont hébergés au sein de l’Union européenne. Certains services de support — dont le traitement par IA, l’analyse du site web et l’envoi de courriels — sont exploités depuis des centres de données situés aux États-Unis. La section 5a décrit précisément ce qui est envoyé aux services d’IA et qui le reçoit, et la section 7 précise où se trouve chaque service et quelles garanties s’appliquent.

Contact protection des données : StudPulse est une jeune entreprise et, au regard de la nature et de l’ampleur de nos traitements, n’est pas tenue de désigner un délégué à la protection des données (DPO) formel au titre de l’art. 37 du RGPD. Notre contact désigné pour la confidentialité traite toutes les demandes relatives à la protection des données et est joignable à l’adresse support@studpulse.com.

2. Rôles de responsable du traitement et de sous-traitant

Au sens du RGPD, StudPulse agit en qualité de responsable du traitement pour les informations de votre compte. Pour les données équines et d’exploitation que vous saisissez dans la plateforme concernant vos clients, vos pensionnaires ou votre personnel, c’est vous qui êtes responsable du traitement et StudPulse agit en qualité de sous-traitant.

3. Données que nous collectons

Nous collectons les catégories d’informations suivantes :

Données de compte — votre nom, votre adresse e-mail, votre mot de passe (haché avec bcrypt) et le nom de l’organisation fourni lors de l’inscription.
Numéro de téléphone mobile — facultatif. Vous pouvez l'indiquer lors de la création du compte ou plus tard dans votre profil. Si vous l'indiquez, nous le confirmons au moyen d'un code à usage unique envoyé par SMS. Il sert à permettre à une écurie de vous contacter au sujet de vos réservations et à limiter le nombre de comptes pouvant être créés avec un même numéro, ce qui empêche la création de faux comptes sur la plateforme. Le numéro n'est pas utilisé à des fins de marketing, et le fournir ne vaut pas consentement à des appels ou SMS commerciaux. Vous pouvez le modifier dans votre profil.
Données chevaux et exploitation — toutes les données que vous saisissez dans la plateforme : profils de chevaux, dossiers médicaux, registres d’élevage, carnets d’entraînement, affectations d’écurie et de box, plans d’alimentation et historique des événements.
Données d’utilisation — pages consultées, fonctionnalités utilisées, requêtes adressées à l’agent IA et horodatages des actions au sein de l’application.
Données techniques et d’appareil — type de navigateur, système d’exploitation, adresse IP et état du service worker pour le fonctionnement de la PWA.
Jetons de notifications push — une adresse de remise pour votre appareil, conservée afin d’envoyer les confirmations de réservation et les rappels de soins. Dans un navigateur web, il s’agit d’un objet d’abonnement push VAPID ; dans les applications Android et iOS, il s’agit d’un jeton d’enregistrement Firebase Cloud Messaging, qui constitue un identifiant d’appareil.
Enregistrements vocaux et transcriptions — lorsque vous dictez une note ou parlez à l’agent IA, l’enregistrement audio lui-même est transmis à un service d’IA (Microsoft Azure, via OpenRouter — voir la section 5a) pour être converti en texte ; nous conservons la transcription obtenue, et non l’audio. La fonction vocale ne fonctionne qu’après que vous avez accepté les fonctions IA dans l’application (section 5a) et autorisé votre appareil à utiliser le micro, et le micro n’est utilisé que pendant l’enregistrement. Vos conversations avec l’assistant IA, y compris leurs transcriptions vocales, sont supprimées lorsque vous supprimez votre compte. La transcription d’une note vocale devenue un enregistrement de l’écurie (par exemple une entrée de soins) reste dans les registres de cette écurie et ne porte plus votre nom une fois votre compte supprimé.
Photographies et fichiers — images et documents que vous joignez aux enregistrements : photos de chevaux, reçus, documents vétérinaires, échographies et équivalents. Dans les applications mobiles, ils peuvent être pris avec l’appareil photo ou choisis dans votre photothèque, dans les deux cas uniquement après que vous avez accordé l’autorisation et sélectionné vous-même un élément à joindre. Nous n’analysons pas votre photothèque et n’accédons pas aux photos que vous n’avez pas jointes.
Parcours de sortie (localisation) — lorsque vous enregistrez une sortie avec l’application mobile ou importez un fichier de sortie (GPX ou TCX, par exemple exporté depuis une montre Garmin) dans une séance d’entraînement : le parcours sous forme de série de points (heure, latitude, longitude, altitude et vitesse), le nom de l’appareil enregistré dans le fichier, et un résumé calculé à partir de celui-ci (distance, durée, vitesses et répartition estimée par allures). Voir la section 3c.
Fréquence cardiaque — uniquement si un fichier de sortie que vous importez contient des mesures de fréquence cardiaque et que vous cochez l’option pour les conserver. La fréquence cardiaque est une donnée de santé, catégorie particulière au sens de l’art. 9 du RGPD ; sans cette case cochée, elle est écartée lors de l’import et n’est jamais enregistrée.

Nous ne collectons la localisation que pour les parcours de sortie. L’application mobile n’utilise la localisation de votre appareil que pendant l’enregistrement d’une sortie que vous avez vous-même lancé, et cesse de l’utiliser dès que vous arrêtez l’enregistrement. Les applications n’utilisent la localisation à aucun autre moment ; nous ne l’utilisons pas à des fins publicitaires et ne la vendons jamais.

3a. Applications mobiles (Android et iOS)

Les applications mobiles StudPulse traitent les mêmes données que l’application web, décrites ci-dessus. Elles demandent en outre à votre appareil les autorisations suivantes. Chacune est facultative, chacune n’est demandée qu’au moment où la fonctionnalité est utilisée pour la première fois, et l’application reste utilisable si vous refusez :

Autorisation	Pourquoi elle est demandée	Ce qui quitte votre appareil
Microphone	Dicter des notes et parler à l’agent IA	L’enregistrement, envoyé pour transcription à Microsoft Azure via OpenRouter (section 5a), et uniquement après que vous avez accepté les fonctions IA. Nous conservons le texte, pas l’audio.
Appareil photo et photothèque	Joindre des photos aux dossiers de chevaux, aux dépenses et aux événements	Uniquement les images que vous choisissez expressément de joindre.
Notifications	Rappels de cours, demandes de réservation et alertes de soins aux chevaux	Un jeton d’enregistrement d’appareil, utilisé uniquement comme adresse de remise.
Localisation	Enregistrement du parcours d’une sortie que vous lancez vous-même, y compris écran verrouillé. Pendant toute la durée de l’enregistrement, votre téléphone indique que la localisation est utilisée.	Les points de la sortie (heure, position, altitude, vitesse), envoyés à nos serveurs par lots pendant la sortie et enregistrés dans la séance d’entraînement lorsque vous la terminez. Rien n’est envoyé lorsque vous n’enregistrez pas.

Les applications ne sont pas financées par la publicité. Nous n’utilisons pas d’identifiants publicitaires, nous ne vous suivons pas à travers les applications ou sites web d’autres entreprises et nous ne vendons ni ne partageons de données à caractère personnel à des fins publicitaires.

Supprimer votre compte depuis l’application : menu du profil → Compte → Supprimer le compte (ou menu du profil → Sécurité → onglet Supprimer le compte) → Supprimer mon compte, puis confirmez avec votre mot de passe et en tapant le mot de confirmation. Le compte est anonymisé immédiatement. Sont définitivement supprimés : votre nom, votre adresse e-mail, votre numéro de téléphone, votre mot de passe et votre photo de profil, vos appareils et jetons de notifications push, vos données de vérification en deux étapes, toutes vos conversations avec l’assistant IA (y compris leur texte intégral et vos transcriptions vocales), votre journal d’activité personnel et votre accès à chaque écurie. Les factures et enregistrements de paiement, les registres d’exploitation propres à l’écurie et les compteurs techniques d’utilisation de l’IA (nombre de jetons et coût, sans contenu) sont conservés sans votre nom. Si vous êtes la seule personne administratrice d’une écurie, la suppression de votre compte ferme également cette écurie : plus personne ne peut s’y connecter, et ses registres sont conservés (par exemple les factures, que la loi nous impose de conserver). Pour que l’écurie continue de fonctionner, nommez d’abord quelqu’un d’autre administrateur. Le détail complet de ce qui est supprimé et de ce qui est conservé figure sur la page de suppression de compte.

3b. Fiches informatives dans l'annuaire

Notre annuaire public d'établissements équestres sur studpulse.com comprend aussi des fiches informatives : des profils que nous avons préparés nous-mêmes pour des établissements qui n'utilisent pas StudPulse, afin que les cavaliers trouvent écuries, centres équestres et haras au même endroit. Chacune de ces fiches est clairement signalée sur sa page comme fiche informative.

Source — le site internet public de l'établissement lui-même. Nous n'achetons pas de données et ne collectons rien sur les réseaux sociaux ni sur les plateformes d'avis.
Finalité — un annuaire d'établissements équestres destiné aux cavaliers.
Base légale — notre intérêt légitime à tenir cet annuaire et l'intérêt des cavaliers à trouver un établissement (art. 6, par. 1, point f du RGPD). Nous ne publions que des coordonnées professionnelles que l'établissement rend lui-même publiques.
Ce qui est affiché — le nom de l'établissement, la localité, une courte description rédigée avec nos propres mots à partir du contenu de son site, et ses coordonnées professionnelles publiques : téléphone, adresse e-mail et site internet.
Ce qui n'est pas affiché — aucune note ni aucun avis, aucune photo ni aucun logo, et aucun nom de personne.
Reprise d'une fiche — l'établissement peut reprendre la fiche grâce au lien « C'est mon écurie » sur son profil. Nous confirmons la demande par un code envoyé uniquement au téléphone ou à l'adresse e-mail indiqués sur la fiche, et chaque reprise est validée par notre équipe. Les informations fournies dans la demande servent uniquement à la traiter (et, une fois validée, à créer le compte) ; elles sont effacées du dossier de la demande 180 jours après la décision.
Suppression — l'établissement peut à tout moment faire supprimer la fiche grâce au lien « Signaler une erreur ou supprimer la fiche » sur son profil, ou en écrivant à support@studpulse.com. Une fiche supprimée quitte immédiatement l'annuaire ; nous ne conservons que le nom de l'établissement et une référence interne pour ne pas la republier.

Nous ne contactons pas les établissements de notre propre initiative : un message n'est envoyé que lorsque quelqu'un utilise le formulaire de reprise ou de suppression. Vous pouvez également vous opposer à ce traitement en vertu de l'art. 21 du RGPD en écrivant à l'adresse ci-dessus.

3c. Parcours de sortie et suivi en direct

Un parcours de sortie montre où une personne a monté ; nous le traitons donc comme une donnée personnelle du cavalier, même s’il est enregistré dans le suivi d’entraînement du cheval.

Sources — un fichier de sortie que vous importez (GPX ou TCX ; nous le lisons une fois et ne conservons pas le fichier d’origine) ou un enregistrement réalisé avec le GPS de votre téléphone dans l’application StudPulse. Pendant l’enregistrement, chaque position est d’abord sauvegardée sur votre téléphone : une perte de réseau ou une application fermée ne fait rien perdre ; cette copie est supprimée du téléphone dès que la sortie a été enregistrée ou abandonnée. Les positions d’une précision moins bonne que 25 mètres sont écartées.
Qui voit le parcours — les administrateurs et le personnel de l’écurie, la personne qui a enregistré ou importé la sortie, le cavalier, la personne qui a créé la séance ou à qui elle est attribuée, et le propriétaire du cheval (un client qui paie sa pension). Toutes les autres personnes pouvant voir la séance n’en voient que le résumé (distance, durée et allures), sans carte et sans fréquence cardiaque.
Suivi en direct — désactivé par défaut. Si le cavalier l’active avant de lancer un enregistrement, les personnes citées ci-dessus peuvent suivre la position actuelle pendant la sortie. Il prend fin avec l’enregistrement et n’est jamais montré à quiconque en dehors de l’écurie.
Fréquence cardiaque — enregistrée uniquement avec votre consentement explicite, donné en cochant l’option lors de l’import (art. 9.2.a du RGPD), et montrée uniquement aux personnes qui voient le parcours. Vous pouvez retirer ce consentement en supprimant le parcours de la séance.
Suppression — la personne qui a ajouté un parcours, ainsi que toute personne autorisée à modifier la séance (comme le personnel de l’écurie), peut le supprimer à tout moment. Lorsque vous supprimez votre compte, nous effaçons le parcours et la fréquence cardiaque de chaque sortie que vous avez importée ou montée, ainsi que toute sortie encore en cours d’enregistrement ; le résumé reste dans le suivi d’entraînement du cheval, sans eux.

4. Utilisation de vos données et bases légales (art. 6 du RGPD)

Conformément au RGPD, nous ne traitons vos données à caractère personnel que lorsque nous disposons d’une base légale valable. Le tableau ci-dessous associe à chaque activité de traitement sa base légale précise :

Activité de traitement	Base légale (art. 6)
Fournir et exploiter la plateforme StudPulse (création de compte, authentification, fonctionnalités principales)	Exécution du contrat — art. 6.1.b
Faire fonctionner l’agent IA (vos messages, l’historique des conversations et les registres de l’écurie envoyés aux services d’IA décrits à la section 5a)	Consentement — art. 6.1.a (donné dans l’écran de consentement IA de l’application avant tout envoi ; vous pouvez le retirer à tout moment avec l’interrupteur « Fonctions IA » dans les paramètres de votre compte)
Envoyer des notifications push pour les réservations, les rappels et les alertes de soins	Consentement — art. 6.1.a (vous activez vous-même les notifications push)
Transcription et conservation de la voix pour les commandes adressées à l’agent IA	Consentement — art. 6.1.a (le même consentement IA, plus l’autorisation du micro de votre appareil ; rien n’est enregistré tant que vous n’appuyez pas sur enregistrer)
Générer des synthèses et des analyses du tableau de bord par IA	Consentement — art. 6.1.a (générées uniquement pour les utilisateurs ayant donné le consentement IA ; la synthèse que le tableau de bord d’une écurie prépare pendant la nuit n’est générée que si l’un des administrateurs de l’écurie l’a donné)
Envoyer des e-mails transactionnels (réinitialisation de mot de passe, liens d’invitation, notifications de compte)	Exécution du contrat — art. 6.1.b
Envoyer des e-mails marketing ou promotionnels (le cas échéant)	Consentement — art. 6.1.a (opt-in requis ; chaque e-mail marketing comporte un lien de désabonnement conformément au CAN-SPAM Act)
Détecter et prévenir les usages frauduleux ou abusifs	Intérêts légitimes — art. 6.1.f (sécurisation de la plateforme et de ses utilisateurs)
Améliorer et développer de nouvelles fonctionnalités	Intérêts légitimes — art. 6.1.f (seules des données anonymisées et agrégées sont utilisées pour l’analyse)
Analyse du site web via Google Analytics 4	Consentement — art. 6.1.a (bandeau de consentement aux cookies affiché aux visiteurs de l’UE/EEE ; GA n’est chargé qu’après recueil du consentement)
Vérification d'un numéro de téléphone mobile, si vous en indiquez un, par un code SMS à usage unique ; les enregistrements associés des tentatives de vérification (heure, adresse IP, nombre de tentatives) ; limitation du nombre de comptes par numéro de téléphone	Intérêt légitime — art. 6, par. 1, point f) (sécurité du service et prévention des faux comptes). Le numéro n'est pas utilisé à des fins de marketing
Enregistrement et import des parcours de sortie, et leur affichage aux personnes décrites à la section 3c	Exécution du contrat — art. 6.1.b (vous lancez vous-même l’enregistrement ou l’import)
Suivi en direct (partage au sein de l’écurie de la position actuelle d’une sortie en cours)	Consentement — art. 6.1.a (désactivé par défaut ; le cavalier l’active avant une sortie et peut le laisser désactivé pour la suivante)
Enregistrement de la fréquence cardiaque issue d’un fichier de sortie importé	Consentement explicite — art. 9.2.a et art. 6.1.a (l’option est décochée par défaut)

5. Intelligence artificielle et conformité au règlement sur l’IA

StudPulse est une plateforme nativement fondée sur l’IA. Nous respectons les exigences de transparence et de sécurité du règlement européen sur l’IA :

Le consentement d’abord : aucune donnée n’est envoyée à un service d’IA tant que vous n’avez pas accepté les fonctions IA dans l’application. La section 5a indique ce qui est envoyé, à qui et pourquoi.
Lieu du traitement par IA : les requêtes d’IA sont traitées par OpenRouter, Inc. et par les fournisseurs de modèles auxquels il les transmet, aux États-Unis. Ces transferts hors de l’EEE sont couverts par les garanties décrites à la section 7.
Aucune conservation, aucun entraînement de modèles de fondation : chaque requête d’IA est acheminée uniquement vers des points de terminaison à conservation zéro des données (Zero Data Retention) : le fournisseur ne conserve ni la requête ni la réponse après l’avoir renvoyée et ne les utilise pas pour entraîner ses modèles. Vos transcriptions vocales, vos données d’exploitation et vos données personnelles servent uniquement à répondre aux requêtes de votre propre organisation.
Catégorisation du risque : l’agent IA de StudPulse relève des systèmes d’IA à « risque minimal/limité » au sens du règlement européen sur l’IA. Il assiste l’administration de l’exploitation et la structuration des données : il ne procède à aucune identification biométrique, n’a pas d’incidence sur des droits et ne produit pas de décisions juridiquement contraignantes.
Supervision humaine : l’IA ne prend aucune décision médicale, juridique ou financière de manière autonome. Toutes les suggestions générées par l’IA (par ex. dates de saillie, alertes de santé) nécessitent une validation humaine. Vous conservez la pleine capacité de modifier, d’ignorer ou de supprimer toute donnée générée par l’IA.
Accords de sous-traitance : chaque prestataire d’IA que nous utilisons est lié par un accord de sous-traitance au titre de l’art. 28 du RGPD, qui le limite au traitement de vos données à la seule fin de nous fournir le service.

5a. Services d’IA : ce que nous envoyons, à qui et pourquoi

Les fonctions IA de StudPulse — l’assistant IA (agent IA), les notes vocales, les réponses lues à voix haute et les synthèses du tableau de bord rédigées par l’IA — sont fournies par des services d’IA tiers. Rien ne leur est envoyé tant que vous n’avez pas donné votre accord dans l’écran de consentement que l’application affiche avant votre première utilisation d’une fonction IA ; cet écran explique ce qui est envoyé et à qui. Votre consentement est propre à votre compte et y est enregistré avec sa date. Vous pouvez le retirer à tout moment avec l’interrupteur Fonctions IA dans les paramètres de votre Compte ; dès lors, plus aucune requête d’IA n’est effectuée pour vous. La synthèse que le tableau de bord d’une écurie prépare pendant la nuit n’est générée que si l’un des administrateurs de l’écurie a donné son consentement.

Qui reçoit les données. Chaque requête d’IA part de nos serveurs vers OpenRouter, Inc. (États-Unis), une passerelle d’IA, qui la transmet au fournisseur qui exécute le modèle :

Fonction IA	Pourquoi elle est utilisée	Fournisseur qui reçoit les données
Conversation avec l’assistant IA (agent IA)	Répondre à vos questions et, si vous le demandez, ajouter ou modifier des registres de l’écurie	Modèles à poids ouverts (open source) exécutés par Baseten, DeepInfra, Fireworks ou Novita ; s’ils ne sont pas disponibles, un modèle de secours de Google (Gemini) ou de Microsoft (Azure, qui fournit des modèles OpenAI)
Synthèses du tableau de bord rédigées par l’IA	Résumer ce qui demande de l’attention dans l’écurie	Les mêmes que pour l’assistant IA
Contrôle de sécurité de chaque message	Vérifier qu’un message est une véritable demande de gestion d’écurie avant d’y répondre	Google (Gemini)
Reconnaissance vocale	Convertir vos enregistrements vocaux en texte	Microsoft (modèle vocal d’Azure AI)
Synthèse vocale	Lire à voix haute les réponses de l’assistant	Google (Gemini)
Vectorisation pour la recherche (embeddings)	Retrouver une conversation passée lorsque vous demandez à l’assistant de s’en souvenir, et effectuer des recherches dans la base de connaissances	Google (Gemini)

Ce qui est envoyé. Uniquement ce dont la fonction a besoin :

vos questions et messages, ainsi que l’historique de la conversation ;
les enregistrements vocaux (audio), lorsque vous parlez à l’assistant ou dictez une note ;
les registres de l’écurie dont l’assistant a besoin pour vous répondre — chevaux, santé et soins, élevage, alimentation, calendrier et réservations, ainsi que finances (les finances uniquement si votre rôle dans l’écurie permet de les voir) ;
les noms et rôles des membres de l’écurie (avec un identifiant interne aléatoire qui distingue les personnes portant le même nom), lorsqu’une question les concerne — leurs adresses e-mail et numéros de téléphone ne sont jamais envoyés aux services d’IA, sauf si vous en saisissez un vous-même dans votre question ;
pour les synthèses du tableau de bord : des chiffres agrégés sur l’écurie — par exemple les soins en retard avec le nom des chevaux, les réservations en attente, les dates de poulinage, les recettes, dépenses et coûts par cheval (uniquement pour les rôles ayant accès aux finances), l’activité d’entraînement et le nom des prestations.

Conservation zéro des données. Chaque requête d’IA — vers le modèle de conversation, le contrôle de sécurité, les embeddings de recherche, la reconnaissance vocale et la synthèse vocale — est acheminée uniquement vers des points de terminaison à conservation zéro des données (Zero Data Retention) : le fournisseur ne conserve ni la requête ni la réponse après l’avoir renvoyée et ne les utilise pas pour entraîner des modèles. Les fournisseurs peuvent conserver des métadonnées techniques qui n’incluent pas le contenu de la requête, comme l’horodatage et les données d’utilisation, à des fins de facturation et de sécurité. OpenRouter et les fournisseurs de modèles ne reçoivent les données que pour produire la réponse à la requête concernée.

Fournisseurs audités. Baseten, DeepInfra, Fireworks et Novita ont chacun fait l’objet d’un audit SOC 2. Google et Microsoft opèrent sous leurs propres certifications de sécurité, notamment SOC 2 pour Google Cloud et Microsoft Azure.

Protection équivalente. OpenRouter et les fournisseurs de modèles traitent les données aux États-Unis, hors de l’EEE. Ces transferts sont encadrés par des conditions de traitement des données et par les clauses contractuelles types de la Commission européenne (art. 28 et 46 du RGPD), qui imposent aux destinataires de protéger vos données à un niveau équivalent à celui décrit dans la présente politique. Voir la section 7.

6. Cookies et analyse d’audience

Nous utilisons Google Analytics 4 (identifiant de propriété : G-G9WWE3TGC6) sur notre site web marketing afin de comprendre le comportement des visiteurs. Conformément à la directive ePrivacy et au RGPD, un bandeau de consentement aux cookies est présenté aux visiteurs de l’UE/EEE lors de leur première visite. Google Analytics n’est chargé qu’après que vous avez donné votre consentement explicite. Vous pouvez retirer votre consentement ou vous y opposer à tout moment via le module complémentaire de navigateur pour la désactivation de Google Analytics.

Nous déposons également des cookies fonctionnels strictement nécessaires à l’authentification (gestion de session JWT) et à votre préférence de langue (studpulse_lang). Ces cookies ne vous suivent pas sur d’autres sites et sont déposés sur la base légale de l’exécution du contrat ; ils ne peuvent pas être désactivés sans rendre le service inopérant.

Notre page d'accueil intègre un film promotionnel hébergé sur YouTube (Google Ireland Limited). Le film n'est pas chargé à l'ouverture de la page : vous voyez une image fixe servie depuis nos propres serveurs et aucune requête n'est envoyée à Google tant que vous n'appuyez pas sur lecture. Appuyer sur lecture charge le lecteur YouTube depuis youtube-nocookie.com, ce qui transmet votre adresse IP à Google et peut stocker des informations sur votre appareil ; la base légale est votre consentement (art. 6.1.a du RGPD), donné par ce clic. Si vous n'appuyez jamais sur lecture, aucune donnée ne parvient à YouTube. Voir la Politique de confidentialité de Google.

L’annuaire des écuries et les profils des écuries de notre site affichent une carte. Ses tuiles sont chargées depuis tile.openstreetmap.org, exploité par l’OpenStreetMap Foundation (St John’s Innovation Centre, Cambridge, Royaume-Uni), dès l’ouverture d’une telle page. Chaque requête de tuile transmet à l’OpenStreetMap Foundation votre adresse IP, la tuile demandée ainsi que les en-têtes User-Agent et Referer de votre navigateur, qu’elle utilise pour fournir les tuiles et protéger son service contre les abus. La carte ne dépose aucun cookie et ne demande pas de consentement : montrer où se trouve une écurie fait partie de la page que vous avez ouverte ; la base légale est donc notre intérêt légitime (art. 6, paragraphe 1, point f) du RGPD). Le Royaume-Uni bénéficie d’une décision d’adéquation de l’UE. Voir la politique de confidentialité de l’OpenStreetMap Foundation.

La carte des parcours dans l’application web et dans les applications mobiles utilise les mêmes tuiles OpenStreetMap. Ouvrir la carte d’une sortie transmet à l’OpenStreetMap Foundation votre adresse IP et les demandes des tuiles couvrant le parcours, et donc la zone où la sortie a eu lieu. Le parcours lui-même est dessiné sur votre appareil et n’est jamais envoyé à l’OpenStreetMap Foundation. La base légale est ici l’exécution du contrat (art. 6.1.b du RGPD) : la carte est la fonctionnalité que vous avez ouverte.

7. Partage des données et sous-traitants ultérieurs

Nous ne vendons pas vos données à caractère personnel. Nous ne les partageons qu’avec les sous-traitants ultérieurs et destinataires listés ci-dessous, et uniquement dans la mesure nécessaire au fonctionnement du service. Tous les sous-traitants ultérieurs sont liés par des accords de sous-traitance au titre de l’art. 28 du RGPD.

Catégorie	Finalité	Données traitées	Lieu du traitement
Hébergement cloud et base de données	Serveurs applicatifs et stockage des données	Toutes les données de l’application	Union européenne
Passerelle d’IA	OpenRouter, Inc. — reçoit chaque requête d’IA et la transmet au fournisseur du modèle (section 5a) ; uniquement après que vous avez accepté les fonctions IA	Le contenu des requêtes d’IA décrit à la section 5a : messages, historique des conversations, enregistrements vocaux, registres de l’écurie, noms et rôles des membres de l’écurie (jamais leurs adresses e-mail ni leurs numéros de téléphone)	États-Unis
Hébergement de modèles d’IA	Baseten, DeepInfra, Fireworks ou Novita (chacun ayant fait l’objet d’un audit SOC 2) — exécutent les modèles à poids ouverts (open source) de l’assistant IA et des synthèses du tableau de bord rédigées par l’IA	Le contenu des requêtes de l’assistant IA et des synthèses du tableau de bord (section 5a)	États-Unis
Modèles d’IA (Google)	Google LLC (Gemini) — contrôle de sécurité des messages, synthèse vocale, embeddings de recherche, et modèle de secours pour l’assistant IA et les synthèses	Messages de conversation, réponses de l’assistant, contenu des conversations et textes de la base de connaissances (section 5a)	États-Unis
Modèles d’IA (Microsoft)	Microsoft Corporation (Azure) — reconnaissance vocale des enregistrements, et modèle de secours pour l’assistant IA et les synthèses (modèles OpenAI fournis par Azure)	Enregistrements vocaux ; le contenu des requêtes de l’assistant IA et des synthèses lorsqu’il sert de modèle de secours (section 5a)	États-Unis
Analyse du site web	Statistiques du site marketing (soumises au consentement)	Statistiques d’utilisation anonymisées, adresse IP tronquée	États-Unis
Envoi de courriels	Courriels transactionnels (réinitialisation de mot de passe, invitations)	Adresse e-mail, contenu du message	Union européenne ou États-Unis
Remise des notifications push	Remise des notifications aux appareils mobiles (Google Firebase Cloud Messaging ; sous iOS, ensuite vers le service Apple Push Notification)	Jeton d’enregistrement d’appareil, titre et corps de la notification	États-Unis
Traitement des paiements	Abonnements, paiements des clients et reversements (Stripe)	Nom, adresse e-mail, données de paiement. Les numéros de carte sont traités par le prestataire de paiement et n’atteignent jamais nos serveurs.	Union européenne ou États-Unis
Protection contre les robots	Cloudflare, Inc. — protection anti-robots Turnstile sur les formulaires de connexion et d’inscription	Adresse IP et données techniques sur le navigateur et l’appareil	États-Unis
Envoi de SMS	Envoi du code à usage unique qui vérifie un numéro de téléphone mobile, si vous en indiquez un (SMSAPI, LINK Mobility Poland sp. z o.o.)	Numéro de téléphone, texte du message contenant le code	Union européenne (Pologne)
Tuiles de carte	Affichage de cartes dans l’annuaire des écuries et sur les profils des écuries (OpenStreetMap Foundation, destinataire indépendant ; politique de confidentialité)	Adresse IP, tuile de carte demandée, en-têtes User-Agent et Referer du navigateur	Royaume-Uni

Lieu de traitement de vos données : nos serveurs applicatifs et notre base de données sont situés dans l’Union européenne. Certains services de support — en particulier le traitement par IA, l’analyse du site web et l’envoi de courriels — sont exploités depuis des centres de données situés aux États-Unis. Le lieu applicable dépend de la fonctionnalité précise utilisée.

Transferts internationaux de données : lorsque des données sont transférées hors de l’Espace économique européen (EEE), nous assurons un niveau de protection adéquat au moyen des clauses contractuelles types (CCT) approuvées par la Commission européenne ou, le cas échéant, en nous appuyant sur le cadre de protection des données UE–États-Unis (DPF) (art. 44 à 49 du RGPD). Cela vaut également pour les destinataires d’IA listés ci-dessus : OpenRouter et les fournisseurs de modèles auxquels il transmet les requêtes sont tenus de protéger vos données à un niveau équivalent à celui garanti dans l’EEE.

Les destinataires d’IA sont nommés individuellement ci-dessus et à la section 5a. La liste à jour des autres sous-traitants ultérieurs que nous utilisons est disponible sur demande à l’adresse support@studpulse.com.

8. Durées de conservation

Nous ne conservons les données que le temps nécessaire aux finalités décrites dans la présente politique :

Catégorie de données	Durée de conservation
Données de compte (nom, e-mail, organisation)	Jusqu’à la suppression du compte + jusqu’à 90 jours pour le traitement de la suppression
Dossiers chevaux et exploitation, journaux d’événements	Jusqu’à la suppression du compte + jusqu’à 90 jours
Historique des conversations IA (fils de l’agent)	Supprimé lorsque vous supprimez votre compte ; vous pouvez supprimer des fils individuels à tout moment
Transcriptions vocales	Les transcriptions figurant dans les conversations IA sont supprimées avec votre compte. La transcription d’une note vocale devenue un enregistrement de l’écurie reste dans les registres de l’écurie, sans votre nom une fois votre compte supprimé
Votre consentement aux fonctions IA (et sa date)	Jusqu’à ce que vous le retiriez ou supprimiez votre compte
Jetons de notifications push	Jusqu’à la révocation de l’abonnement par vous ou par le navigateur, ou à la suppression du compte
Journaux techniques et d’appareil (adresses IP, journaux d’erreurs)	Fenêtre glissante de 90 jours
Données Google Analytics	14 mois (selon les paramètres de conservation de GA) ; soumises à la politique de confidentialité de Google
Statistiques agrégées anonymisées	Durée indéterminée (ne peuvent être rattachées à aucune personne)
Numéro de téléphone mobile	Jusqu'à la suppression du compte
Codes de vérification SMS et journal des codes envoyés	Un code est valable 10 minutes et n'est conservé que sous forme d'empreinte chiffrée ; le journal des codes envoyés (numéro, adresse IP, heure, tentatives) est conservé jusqu'à 30 jours
Parcours de sortie et fréquence cardiaque	Conservés avec la séance d’entraînement, comme les autres dossiers chevaux et exploitation ; effacés plus tôt si le parcours est supprimé de la séance, ou à la suppression du compte de la personne qui l’a importé ou monté
Positions envoyées pendant l’enregistrement d’une sortie	Supprimées dès que la sortie est enregistrée. Un enregistrement sans signal depuis 12 heures est clôturé, puis supprimé avec ses positions 7 jours après sa clôture
Positions stockées sur votre téléphone pendant l’enregistrement d’une sortie	Supprimées du téléphone dès que la sortie a été enregistrée sur nos serveurs ou abandonnée

9. Vos droits (RGPD)

Si vous vous trouvez dans l’Espace économique européen, au Royaume-Uni ou dans une autre juridiction dotée d’une législation comparable en matière de protection des données, vous disposez des droits suivants :

Accès (art. 15) — demander une copie des données à caractère personnel que nous détenons à votre sujet.
Rectification (art. 16) — nous demander de corriger des données inexactes ou incomplètes.
Effacement (art. 17) — demander la suppression de vos données à caractère personnel (« droit à l’oubli »). Vous n’avez pas à le demander : vous pouvez supprimer vous-même votre compte à tout moment depuis menu du profil → Compte → Supprimer le compte (ou Sécurité → Supprimer le compte) dans l’application ou l’application web. Consultez la page de suppression de compte pour savoir précisément ce qui est supprimé et ce que nous sommes légalement tenus de conserver.
Portabilité (art. 20) — recevoir vos données dans un format structuré et lisible par machine (JSON ou CSV).
Opposition (art. 21) — vous opposer à un traitement fondé sur les intérêts légitimes (art. 6.1.f).
Limitation (art. 18) — demander la limitation du traitement dans certaines circonstances.
Retrait du consentement — lorsque le traitement repose sur le consentement (par ex. fonctions IA, notifications push, transcription vocale, cookies GA), vous pouvez le retirer à tout moment, sans que cela affecte la licéité du traitement effectué auparavant. Le consentement aux fonctions IA se retire avec l’interrupteur Fonctions IA dans les paramètres de votre compte.
Décision automatisée (art. 22) — vous avez le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative. L’agent IA de StudPulse ne fournit que des suggestions et ne prend jamais de décision automatisée contraignante ; un humain est toujours dans la boucle.
Réclamation (art. 77) — vous avez le droit d’introduire une réclamation auprès de votre autorité nationale de contrôle en matière de protection des données. La liste des autorités de contrôle de l’UE est tenue par le Comité européen de la protection des données à l’adresse edpb.europa.eu.

Pour exercer l’un de ces droits, écrivez-nous à support@studpulse.com. Nous répondrons sous 30 jours et, dans les cas complexes, sous 90 jours, en vous informant au préalable de la prolongation.

10. Sécurité

Nous protégeons vos données par des mesures conformes aux standards du secteur :

Toutes les données sont transmises via HTTPS (TLS 1.2 ou supérieur).
Les mots de passe sont hachés avec bcrypt et ne sont jamais stockés en clair.
L’accès à l’API requiert des jetons d’accès JWT de courte durée (30 minutes) et des jetons de rafraîchissement rotatifs (7 jours).
Une isolation stricte des données garantit que chacun n’accède qu’aux données de sa propre organisation.
Notification des violations de données : en cas de violation de données à caractère personnel, nous en informerons l’autorité de contrôle compétente dans les 72 heures suivant sa constatation (art. 33 du RGPD). Si la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, nous vous en informerons également directement dans les meilleurs délais (art. 34 du RGPD).

Aucune méthode de transmission ou de stockage n’est sûre à 100 %. Si vous découvrez une faille de sécurité, signalez-la de manière responsable à support@studpulse.com.

11. Protection des mineurs

StudPulse est un outil professionnel et B2B, non destiné aux enfants. Nous ne collectons pas sciemment de données à caractère personnel de mineurs.

UE/EEE (art. 8 du RGPD) : les utilisateurs doivent être âgés d’au moins 16 ans (ou disposer du consentement vérifiable d’un parent ou tuteur lorsque le droit national applicable autorise un âge inférieur, avec un minimum de 13 ans). Si nous apprenons que des données d’un enfant de moins de 16 ans ont été collectées sans le consentement approprié, nous les supprimerons sans délai.
États-Unis (COPPA, 16 CFR Part 312) : nous ne collectons pas sciemment d’informations personnelles auprès d’enfants de moins de 13 ans. Si vous pensez qu’un enfant de moins de 13 ans nous a communiqué des informations personnelles, écrivez-nous à support@studpulse.com et nous les supprimerons immédiatement.

12. Modifications de la présente politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Le cas échéant, nous actualiserons la date de « Dernière mise à jour » en haut de cette page. Pour les modifications substantielles, nous vous en informerons par e-mail ou par un message dans l’application au moins 30 jours avant leur entrée en vigueur.

13. Contact et droit applicable

Pour toute question relative à la confidentialité, toute demande concernant vos données ou pour exercer vos droits, contactez-nous à :
support@studpulse.com

La présente Politique de confidentialité et tout litige en découlant sont régis par le droit de l’Union européenne et par celui de la République de Pologne (juridiction du responsable du traitement). Cela n’affecte pas votre droit d’agir devant votre autorité de contrôle ou vos juridictions locales en vertu du droit applicable en matière de protection des données.

14. Résidents de Californie (CCPA / CPRA)

Si vous résidez en Californie, le California Consumer Privacy Act (CCPA), tel que modifié par le California Privacy Rights Act (CPRA), vous confère les droits suivants :

Droit de savoir — demander la communication des catégories et des éléments précis d’informations personnelles que nous avons collectés à votre sujet, des catégories de sources, des finalités commerciales de la collecte et des catégories de tiers avec lesquels nous les partageons.
Droit à la suppression — demander la suppression de vos informations personnelles, sous réserve de certaines exceptions (par ex. finalisation d’une transaction, sécurité, obligations légales).
Droit de rectification — demander la correction d’informations personnelles inexactes que nous conservons à votre sujet.
Droit de refuser la vente ou le partage — nous ne vendons pas vos informations personnelles et ne les partageons pas à des fins de publicité comportementale inter-contextes. Vous n’avez rien à refuser, mais vous pouvez nous écrire à support@studpulse.com pour en obtenir confirmation écrite.
Droit de limiter l’utilisation des informations personnelles sensibles — nous n’utilisons ni ne divulguons d’informations personnelles sensibles au-delà des finalités autorisées par le CPRA.
Droit à la non-discrimination — nous n’exercerons aucune discrimination à votre encontre si vous exercez vos droits au titre du CCPA/CPRA. Vous ne recevrez pas un niveau de service différent et ne serez pas facturé à des tarifs différents.

Catégories d’informations personnelles collectées (catégories CCPA) : identifiants (nom, adresse e-mail, adresse IP) ; informations commerciales (formule d’abonnement) ; activité sur internet ou d’autres réseaux électroniques (journaux d’utilisation, pages consultées) ; données audio/électroniques (transcriptions vocales, si consenties) ; déductions opérées (synthèses d’exploitation générées par l’IA).

Shine the Light (Code civil de Californie § 1798.83) : les résidents de Californie peuvent demander une fois par an la liste des catégories d’informations personnelles communiquées à des tiers à des fins de marketing direct. StudPulse ne communique pas d’informations personnelles à des fins de marketing direct de tiers.

Pour exercer l’un de vos droits californiens, écrivez-nous à support@studpulse.com avec pour objet « California Privacy Request ». Nous répondrons sous 45 jours (prolongeables de 45 jours supplémentaires après information).

15. Résidents du Nevada

Le chapitre 603A des Nevada Revised Statutes confère aux résidents du Nevada le droit de refuser la « vente » de certaines informations personnelles à des tiers. StudPulse ne vend pas d’informations personnelles au sens du droit du Nevada. Pour toute question ou pour soumettre une demande, contactez-nous à support@studpulse.com.