BioForge — Politique de confidentialité

Dernière mise à jour : 2026-10-24

1. Qui nous sommes

Le responsable du traitement de BioForge est A-X Software, SAS de droit français, dont le siège est au 122 rue Amelot, 75011 Paris, France, SIREN 929 602 365.

Cette politique couvre l'app BioForge (iOS, et l'app web sur app.bioforge.science) et le site bioforge.science (section 10).

Notre délégué à la protection des données est joignable à dpo@bioforge.science.

Notre autorité de contrôle est la Commission Nationale de l'Informatique et des Libertés (CNIL) (France). Tu as le droit d'y introduire une réclamation à tout moment.

2. Les données que nous traitons

BioForge est une application personnelle d'analyse de la santé et de la performance. Nous traitons plusieurs catégories de données, dont des données de catégories particulières au sens de l'article 9 du RGPD :

• Données de compte — e-mail, nom, photo de profil (via OAuth), identifiants d'authentification.
• Profil athlète — âge, poids, taille, indicateurs d'entraînement (FTP, VMA, allure CSS, FC max, FC seuil), niveau d'expérience, heures hebdomadaires.
• Données de santé (article 9) — bilans sanguins et marqueurs, profils de microbiote, antécédents médicaux, prescriptions, recommandations, et le journal de sécurité de chaque génération de plan qui a lu ton dossier de santé (restrictions détectées, règles appliquées).
• Données d'entraînement — plans d'entraînement et historique de leur génération, objectifs de volume, séances réalisées, saisies de forme, courses que tu vises, tes notes privées sur une course et signalements que tu envoies sur une course, rituels du coach que tu coches, briefs de course, historique des échanges avec le coach.
• Sources connectées — avec ton autorisation : Apple Santé (fréquence cardiaque, VFC, fréquence cardiaque au repos, fréquence respiratoire, sommeil, poids, taille, VO2 max, récupération cardiaque, entraînements), Garmin, WHOOP et Intervals.icu ; le home trainer (puissance, cadence, vitesse) et la ceinture cardio Bluetooth — enregistrés pendant une séance que tu lances ; un appareil de chevet que tu installes (CO2, température et humidité de ta chambre, résumés chaque nuit, et l'humeur, la motivation et les courbatures que tu y notes, la charge ressentie de ta journée (de 1 à 10) et les étiquettes que tu poses sur une nuit (médicament, maladie, alcool, autre, voyage, retraite, repas tardif, caféine tardive, écran tardif : des données de santé, des codes seulement, jamais de texte libre) ; il affiche en retour ta récupération, ta VFC par rapport à ta normale, ta durée de sommeil et la séance du jour ; il fonctionne avec une clé que tu crées et peux révoquer dans les Réglages ; seule une empreinte de cette clé est conservée). L'app envoie aussi à ton Apple Watch les séances que tu choisis.
• Données techniques — adresse IP, agent utilisateur, horodatage des requêtes, journaux d'erreurs, journaux d'audit des accès administrateur à tes données ; pour chaque e-mail que nous t'envoyons, une empreinte à clé de l'adresse (jamais l'adresse), conservée 2 jours pour qu'aucune adresse ne reçoive des e-mails à répétition.
• Relevés d'usage — par jour, les jetons et le coût des analyses faites pour toi, pour prévenir les abus et maîtriser les coûts (intérêt légitime, article 6(1)(f)) ; conservés 90 jours, supprimés avec ton compte.
• Rapports de plantage (app iOS) — quand l'app plante, un rapport technique anonyme : l'erreur et l'endroit du code où elle s'est produite, le modèle d'appareil, les versions d'iOS et de l'app, et si la session s'est terminée par un plantage. Il ne contient aucune valeur de santé, ni nom, ni e-mail, ni identifiant rattaché à toi ou à ton compte, et il est envoyé à Sentry (section 4).

Les données d'Apple Santé ne servent jamais à la publicité ni au marketing, ne sont jamais vendues, ne sont partagées qu'avec les sous-traitants de la section 4 nécessaires au service (le fournisseur d'IA uniquement avec ton consentement) et ne sont jamais stockées dans iCloud.

Les données de compte sont nécessaires pour créer un compte. Tout le reste est facultatif : sans ces données, les analyses correspondantes ne sont simplement pas disponibles.

3. Base légale

• Données de compte + données techniques (rapports de plantage compris) — exécution du contrat qui nous lie (article 6(1)(b)) et notre intérêt légitime à exploiter un service sûr et fiable (article 6(1)(f)).
• Données de santé — ton consentement explicite (article 9(2)(a)), que tu peux retirer à tout moment sans remettre en cause la licéité des traitements passés. Le retirer empêche toute nouvelle analyse mais n'annule pas les recommandations déjà produites.
• Données d'entraînement — exécution du contrat (article 6(1)(b)).
• Visites du site bioforge.science et e-mails que tu nous envoies — notre intérêt légitime à savoir quelles pages sont lues et à te répondre (article 6(1)(f)). Tu peux t'y opposer à tout moment (section 7).

4. Sous-traitants

Pour faire fonctionner BioForge, nous partageons des données avec les sous-traitants suivants. Chacun est lié par un accord de traitement des données au titre de l'article 28 du RGPD. Nous ne vendons jamais tes données et ne les partageons jamais à des fins publicitaires.

Les transferts vers des sous-traitants situés hors de l'EEE reposent sur une décision d'adéquation de la Commission européenne — pour la Suisse (décision 2000/518/CE), et pour le Data Privacy Framework UE-États-Unis (décision 2023/1795) lorsque le sous-traitant y est certifié, comme indiqué ci-dessus — et sinon sur les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914).

5. Durées de conservation

• Données de compte, de profil, de santé et d'entraînement — conservées pendant toute la durée de ton compte. Quand tu supprimes ton compte (ou demandes l'effacement au titre de l'article 17), toutes les données rattachées à ton profil athlète sont supprimées en cascade de la base de données.
• Journaux d'audit (accès administrateur, événements de consentement) — conservés 5 ans après la suppression du compte concerné, sous forme pseudonymisée, pour répondre à notre obligation de responsabilité (articles 5(2) et 24).
• Données techniques — journaux serveur 30 jours au plus ; rapports d'erreur et de plantage 90 jours au plus (Sentry) ; puis suppression automatique.
• Sauvegardes — les sauvegardes gérées par Railway sont renouvelées en continu ; la plus longue fenêtre résiduelle est la durée de conservation des sauvegardes configurée au niveau de l'infrastructure.
• Site bioforge.science — ses journaux d'hébergement suivent la règle des données techniques ci-dessus ; l'empreinte de visiteur de la mesure d'audience est supprimée au bout de 24 heures (section 10).
• E-mails que tu nous envoies — conservés 3 ans après notre dernier échange, puis supprimés.

6. Cookies

BioForge ne dépose que des cookies strictement nécessaires. Dans l'app : bioforge-jwt (authentification, 48 heures), bioforge-refresh (maintien de la connexion, 30 jours) et locale (la langue que tu choisis, 1 an). Sur le site bioforge.science : NEXT_LOCALE (la langue de la page, supprimé à la fermeture du navigateur). Nous ne déposons aucun cookie de mesure d'audience, de publicité ou d'empreinte, et n'intégrons aucun traceur publicitaire ou inter-sites ; le site mesure son audience sans aucun cookie (section 10). Comme nous n'utilisons que des cookies strictement nécessaires, aucun bandeau de consentement n'est requis au titre de la directive ePrivacy.

7. Tes droits

Tu peux exercer à tout moment les droits suivants :

• Accès (article 15) — télécharge une copie complète et lisible par machine de tes données via GET /api/gdpr/export depuis l'app, ou en écrivant au DPO.
• Rectification (article 16) — modifie ton profil athlète et tes dossiers de santé directement dans l'app.
• Effacement (article 17) — supprime ton compte depuis l'app ; les suppressions en cascade retirent toutes les données de ton profil athlète de la base de production.
• Limitation (article 18) — suspends le traitement en écrivant au DPO.
• Portabilité (article 20) — même export qu'à l'article 15, au format JSON.
• Opposition (article 21) — oppose-toi à tout moment à ce qui repose sur notre intérêt légitime (la mesure d'audience du site bioforge.science, le traitement des e-mails que tu nous envoies) en écrivant au DPO.
• Retrait du consentement (article 7(3)) — retire à tout moment ton consentement à l'analyse BIA, sans perdre l'accès aux fonctions manuelles.
• Journal d'audit — consulte qui, dans l'équipe BioForge, a accédé à tes données via GET /api/gdpr/admin-access-log.
• Réclamation (article 77) — dépose une réclamation auprès de la CNIL.

Nous répondons à chaque demande sous un mois (article 12(3)).

8. Sécurité

Les données de santé sont des données de catégorie particulière (article 9) et nous les traitons comme telles. En résumé : nous chiffrons les données en transit (TLS 1.2+ partout, avec épinglage des clés publiques dans l'app iOS), nous exigeons une authentification individuelle pour tout accès (aucun compte partagé), nous contrôlons la propriété des données au niveau de l'API (tu ne peux pas lire les données d'un autre utilisateur, même en devinant un identifiant) et nous journalisons tout accès administrateur exceptionnel, par transparence. Notre politique de divulgation des vulnérabilités est à /legal/security-policy.

9. Transparence sur les traitements BIA

BioForge utilise des grands modèles de langage (LLM) — en l'occurrence Claude, d'Anthropic — pour l'analyse croisée de la santé, les programmes et recommandations d'entraînement personnalisés, les échanges avec le coach BIA dans le contexte complet de ta santé, l'analyse des séances et des briefs de course, et l'extraction des affirmations scientifiques des vidéos que tu soumets.

Données transmises au LLM. Seuls des indicateurs de forme agrégés, calculés dans l'infrastructure de BioForge (indices de charge d'entraînement comme TSS, ATL, CTL et TSB ; tendances de récupération ; volume hebdomadaire et répartition par zones ; variables de périodisation) et un contexte de santé qui ne vient pas des appareils (synthèses de bilans sanguins, composition du microbiote, dossiers de santé et marqueurs de forme agrégés) sont transmis au fournisseur du LLM.

Coach et analyses de santé. Avec ton consentement au traitement IA de tes données de santé, le Coach et les analyses de santé reçoivent aussi le contexte médical nécessaire à des conseils sûrs : tes affections (actuelles, passées, allergies), tes traitements en cours avec dose et fréquence, tes notes de blessure, tes dossiers de santé et marqueurs sanguins, et tes saisies de forme des 14 derniers jours.

Photos dans le Coach. Une photo que tu joins à un message du Coach est transmise au moins deux fois au fournisseur du LLM. D'abord pour vérifier qu'elle montre un produit sportif (étiquette de complément ou nutritionnelle, gel, barre, boisson, équipement, vêtement, machine d'entraînement, dossard) ou une capture d'écran de BioForge ; une photo qui n'en montre pas est refusée et jamais stockée. Une capture d'écran de BioForge montre tes chiffres (sommeil, VFC, forme du jour, poids) : elle n'est acceptée que si l'analyse IA de tes données de santé est activée, sinon elle est refusée et jamais stockée. Puis à chaque requête qui construit la réponse, plusieurs quand le Coach consulte tes données. BioForge conserve une photo acceptée avec ton message (Cloudflare R2) et la supprime avec ton compte. Ne joins pas de photo de personnes, de documents ou de quoi que ce soit sans rapport avec le sport.

Comptes rendus de laboratoire que tu importes. Quand tu importes un bilan sanguin, un rapport de microbiote ou une analyse de selles, le fichier d'origine — y compris l'image ou le PDF brut — est transmis à notre fournisseur de LLM (Anthropic, aux États-Unis) pour que le modèle le lise et en extraie les valeurs. Nous envoyons le document brut, pas seulement un résumé produit en amont ; il peut contenir tout ce que ton laboratoire y a imprimé, y compris ton nom et les autres informations du compte rendu. Cette transmission n'a lieu que si tu choisis d'importer un compte rendu et seulement si tu as activé le traitement IA de tes données de santé. Le fournisseur traite le fichier en tant que prestataire, uniquement pour le lire et en extraire les valeurs, qu'il renvoie à BioForge. Pour la façon dont il traite les données reçues — y compris leur durée de conservation et les garanties applicables aux transferts hors de ton pays — consulte ses propres conditions.

Données d'identification. Seuls ton prénom, ton âge, ton poids, ta taille, ton sexe, ton niveau d'expérience, ta préférence alimentaire et ton objectif de course sont transmis comme contexte athlète. Nous ne transmettons jamais au fournisseur du LLM ton adresse e-mail, ton nom de famille, ton adresse postale, ton numéro de téléphone, tes informations de paiement ni ta position précise.

Données brutes des API d'appareils. Les données brutes échantillonnées en continu obtenues via les API d'appareils tiers — dont Garmin Connect, WHOOP, Intervals.icu et Apple HealthKit — ne sont jamais partagées avec un fournisseur d'IA externe. Cela vaut pour les traces GPS, les flux de fréquence cardiaque seconde par seconde, les intervalles battement à battement (BBI), les flux de puissance et de cadence seconde par seconde, le détail des phases de sommeil et tout autre champ échantillonné en continu.

Agrégats par tour (sur option). Les indicateurs agrégés par tour — numéro du tour, durée, distance, fréquence cardiaque moyenne, allure moyenne, puissance moyenne, cadence moyenne et dénivelés positif et négatif — peuvent être transmis au fournisseur du LLM pour l'analyse de coaching si et seulement si tu as activé l'option « Coaching BioForge Intelligence (par intervalle) » dans tes réglages de confidentialité. Ces agrégats ne contiennent ni coordonnées GPS, ni horodatages bruts, ni flux échantillonnés, ni aucun champ permettant de réidentifier l'activité au-delà de la séance elle-même. Sans ce consentement, le LLM ne reçoit que des agrégats au niveau de la séance, sans détail par tour. Tu peux retirer ce consentement à tout moment depuis Profil → Confidentialité ; le changement s'applique immédiatement aux analyses suivantes (les analyses déjà en cache pour les séances passées ne sont pas recalculées).

Traitement des données par le fournisseur du LLM. Anthropic n'utilise jamais tes données pour entraîner ses modèles et les supprime automatiquement sous 30 jours au plus, sauf conservation plus longue imposée par la loi ou nécessaire au respect de ses règles d'utilisation. Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types.

Aucune décision automatisée. BioForge fournit des recommandations et des éclairages produits par la BIA, mais ne prend aucune décision automatisée produisant des effets juridiques ou des effets significatifs similaires. Toutes les recommandations ont une valeur de conseil.

10. Le site bioforge.science

bioforge.science présente BioForge. Il n'a ni compte, ni formulaire, ni newsletter : « Rejoindre la beta » ouvre l'app sur app.bioforge.science, où s'appliquent les sections précédentes. Une visite du site implique seulement ce qui suit.

• Hébergement — le site est servi par Vercel qui, comme tout serveur web, reçoit ton adresse IP, l'agent utilisateur de ton navigateur et la page demandée, dans ses journaux techniques (section 5).
• Mesure d'audience — Vercel Web Analytics enregistre chaque page vue avec son heure, la page, le site de provenance, une localisation approximative (pays, région, ville), le navigateur, le système et le type d'appareil. Il ne dépose aucun cookie et ne stocke rien sur ton appareil ; un visiteur est reconnu par une empreinte de la requête que Vercel supprime au bout de 24 heures, et les pages vues ne sont pas rattachées à ton adresse IP. Ces statistiques ne sont jamais reliées à un compte BioForge.
• Cookie — uniquement NEXT_LOCALE, la langue de la page (section 6).
• Rien de chargé depuis des tiers — les polices et les images sont servies par le site lui-même ; GitHub et l'app sont de simples liens.
• Nous écrire — les e-mails envoyés à une adresse @bioforge.science (hello, support, le DPO) passent par Cloudflare Email Routing, qui les transfère sans les stocker vers notre boîte Proton Mail (Proton AG, Suisse). Nous utilisons ton adresse et ton message uniquement pour te répondre (conservation : section 5).

11. Modifications

Nous mettons cette page à jour lorsque nos traitements changent de façon significative. La date de « Dernière mise à jour » en haut de page indique la révision la plus récente. Si un changement nécessite un nouveau consentement explicite pour des données de catégorie particulière, nous te le demanderons à ta prochaine connexion plutôt que de nous contenter d'une mise à jour passive de cette page.