Politique de confidentialité

La présente politique décrit la manière dont GESWORK SAS (société par actions simplifiée au capital de 100 euros, inscrite au Registre du commerce et des sociétés de Pontoise sous le numéro 825 339 872, et filiale de la société Holding GSME (ci-après « GSME »), SAS au capital de 501 000 Euros, immatriculée au RCS de Pontoise sous le numéro 841 339 245, dont le siège social est situé au 5, rue des Sources, 95640 Brignancourt, France) traite vos données personnelles lorsque vous utilisez l'application mobile Peu mais souvent, le site www.geswork.fr et les services associés (ci-après les « Services »).

Geswork édite et exploite l'Application en qualité de responsable de traitement au sens du Règlement (UE) 2016/679 (RGPD) et de la loi Informatique et Libertés modifiée.

Pour toute demande relative à vos données ou à l'exercice de vos droits : protection-donnees@gsme.fr.

01Données que nous collectons

Selon votre usage des Services, nous traitons les catégories de données suivantes — et uniquement celles-ci :

1.1 Compte & authentification

• Nom, prénom, adresse email, photo de profil (facultative) ;
• Identifiant du fournisseur d'authentification OAuth utilisé (Google, Apple ou Microsoft), lorsque vous choisissez la connexion sociale ;
• Mot de passe (haché via bcrypt — jamais stocké en clair) si vous créez un compte par email ;
• Horodatages d'activité (création de compte, dernière connexion, vérification d'email, acceptation des CGU) ;
• Préférences linguistique et fuseau horaire.

1.2 Profil physique & objectifs

• Prénom, date de naissance, sexe ;
• Taille (cm), poids initial (kg) ;
• Objectif principal (forme générale, prise de muscle, endurance, perte de poids, autre) ;
• Nombre de séances cibles par semaine ;
• Objectifs long-terme (poids, mensurations, % masse grasse) avec valeur cible et échéance.

Ces données servent exclusivement à adapter les recommandations (calcul des besoins caloriques, prescriptions sport, score de récupération). Elles ne sont jamais utilisées à des fins de profilage commercial.

1.3 Données du pilier Sport

• Routines créées (nom, exercices, planification hebdomadaire, durée estimée) ;
• Séances réalisées (date, durée, exercices, notes, ressenti rapporté) ;
• Séries (reps, poids, durée, distance selon le type d'exercice) ;
• Évaluations d'exercices (1RM estimé, max reps, hold max, pace de référence) ;
• Préférences de séance (repos par défaut, modalité, etc.).

1.4 Données du pilier Nutrition

• Journal alimentaire (date, repas, aliment, portion consommée en grammes) ;
• Macros et calories par aliment (référence Open Food Facts ou saisie manuelle) ;
• Recettes personnelles (nom, ingrédients, quantités, image facultative) ;
• Objectifs nutritionnels (kcal, protéines, glucides, lipides, fibres) ;
• Répartition par repas (petit-déjeuner, déjeuner, dîner, collation, repas personnalisés) ;
• Code-barres scannés (interrogés sur la base publique Open Food Facts, jamais conservés à des fins commerciales).

1.5 Données du pilier Santé

• Mesures corporelles que vous saisissez (poids, % masse grasse, tour de taille, tour de hanches, tour de poitrine, tour de cou, tour de cuisse, tour de bras) ;
• Nombre de pas par jour ;
• Si vous l'activez explicitement : données importées depuis Apple Santé ou Google Fit (uniquement les types que vous autorisez — typiquement les pas) ;
• Notes et observations libres associées à une mesure.

L'accès à Apple Santé / Google Fit est strictement opt-in et limité aux types de données que vous validez écran par écran. Vous pouvez révoquer ces accès à tout moment depuis les réglages de votre système d'exploitation.

1.6 Conseil IA & contexte associé

• Le « Conseil du jour » généré pour vous (texte, pilier concerné, horodatage) est stocké côté serveur ;
• Le contexte transmis au fournisseur d'IA pour générer ce conseil correspond à un résumé agrégé de vos 7 derniers jours (volume de séances, totaux nutritionnels, tendance de récupération). Aucun nom, email ou identifiant nominatif n'est transmis ;
• Vous ne pouvez pas saisir de message libre à destination de l'IA — il n'y a pas de chatbot.

1.7 Données techniques

• Type d'appareil, système d'exploitation, version de l'Application ;
• Identifiant de session et jetons d'authentification ;
• Adresse IP de connexion, agent utilisateur (user-agent) ;
• Journaux d'erreurs et traces techniques utiles au diagnostic ;
• Curseur de synchronisation (date / version des données déjà transmises à votre appareil) — sert au moteur de synchronisation offline-first.

1.8 Traces légales

• Version des CGU acceptée, date, IP et agent utilisateur au moment de l'acceptation (preuve légale).

1.9 Ce que nous ne collectons pas

• Aucune donnée bancaire : l'Application ne traite pas de paiement par carte.
• Aucun accès au contenu de votre boîte email, de vos contacts ou de vos messages — l'authentification OAuth ne demande que les permissions d'identité minimales (nom et email du compte choisi).
• Aucune donnée biométrique brute (empreinte, reconnaissance faciale, écoute micro, image vidéo).
• Aucun identifiant publicitaire mobile (IDFA Apple / AAID Android), aucun cookie tiers, aucun pixel marketing.
• Aucune localisation continue en arrière-plan. Si une distance est mesurée, elle est soit saisie manuellement, soit lue ponctuellement depuis Apple Santé / Google Fit avec votre accord.

02Finalités & bases légales (RGPD)

Nous traitons les données personnelles exclusivement pour :

• Fournir et exploiter l'Application : authentification, synchronisation entre vos appareils, sauvegarde de votre journal sport / nutrition / santé, génération du conseil du jour, support utilisateur.
  Base légale : exécution du contrat (CGU).
• Adapter les recommandations à votre profil (calculs caloriques, prescriptions d'exercices, score de récupération).
  Base légale : exécution du contrat.
• Sécuriser le service : prévention de la fraude, détection des abus, gestion des incidents.
  Base légale : intérêt légitime à protéger les utilisateurs et l'infrastructure.
• Améliorer l'Application : journaux d'erreurs et statistiques d'usage agrégées et anonymisées pour corriger les anomalies et améliorer les fonctionnalités.
  Base légale : intérêt légitime.
• Conserver la preuve de l'acceptation des CGU et répondre aux obligations légales applicables.
  Base légale : obligation légale et intérêt légitime.

Aucune donnée n'est utilisée à des fins de marketing direct, de profilage publicitaire, de revente, ni pour entraîner des modèles d'intelligence artificielle généralistes.

03Absence de communication à des tiers

Vos données personnelles ne sont en aucun cas vendues, louées, échangées ou communiquées à des tiers à des fins commerciales ou publicitaires.

Elles ne peuvent être transmises qu'aux seuls sous-traitants techniques strictement nécessaires au fonctionnement de l'Application, liés par contrat à Geswork et tenus aux mêmes obligations de confidentialité et de sécurité :

• Hébergeur : infrastructure située dans l'Union européenne (base PostgreSQL + cache Redis + stockage objet S3-compatible) ;
• Fournisseurs d'authentification OAuth (Google, Apple, Microsoft) — uniquement pour valider votre identité au moment de la connexion ;
• Fournisseur d'envoi d'emails transactionnels (vérification d'email, réinitialisation de mot de passe, alertes de sécurité) ;
• Fournisseur d'observabilité d'erreurs (type Sentry) avec scrubbing automatique des données sensibles ;
• Fournisseur d'IA (Anthropic Claude ou OpenAI) pour la génération du Conseil du jour — voir §4.

Une communication ne peut intervenir qu'en cas d'obligation légale (réquisition judiciaire ou administrative en bonne et due forme).

04Sources tierces & IA

4.1 Open Food Facts

Pour vous permettre de scanner ou rechercher des aliments, l'Application interroge la base ouverte Open Food Facts. Seul le code-barres ou les termes de recherche sont transmis. Aucune donnée nominative (nom, email, identifiant de compte) n'est associée à la requête.

4.2 Apple Santé & Google Fit

Si vous l'activez explicitement, l'Application peut lire — depuis votre appareil — certaines données présentes dans Apple Santé (HealthKit) ou Google Fit (Health Connect). La sélection des types de données autorisés (typiquement les pas) reste à votre main et peut être révoquée à tout moment depuis les réglages système. Geswork ne reçoit jamais d'autres types de données que ceux que vous avez explicitement autorisés.

4.3 Fournisseur d'IA (Claude / OpenAI)

La génération du « Conseil du jour » repose sur un fournisseur d'IA (Anthropic Claude ou OpenAI). Pour produire un conseil pertinent, nous transmettons un résumé agrégé de vos 7 derniers jours : nombre de séances, totaux caloriques, tendance de sommeil et de récupération.

Ne sont jamais transmis : votre nom, votre email, votre identifiant de compte, vos messages, votre liste de contacts, vos photos ou tout autre contenu non strictement nécessaire au conseil. Le fournisseur d'IA agit en qualité de sous-traitant, ne conserve pas les données envoyées pour son propre compte, et ne les utilise pas pour entraîner ses modèles dans le cadre de notre prestation.

05Hébergement & transferts hors UE

Les données du compte, du profil, du sport, de la nutrition et de la santé sont hébergées sur une infrastructure située dans l'Union européenne. Aucun transfert vers un pays tiers n'est effectué sans garanties appropriées au sens des articles 44 et suivants du RGPD (clauses contractuelles types de la Commission européenne, programmes de conformité du sous-traitant).

Certains sous-traitants (Google, Apple, Microsoft, Anthropic, OpenAI) peuvent traiter des données en dehors de l'Espace Économique Européen dans le cadre de leurs propres services ; les transferts s'appuient alors sur les mécanismes prévus par le RGPD.

06Durées de conservation

• Données du compte et données métier (sport, nutrition, santé, objectifs) : pendant toute la durée d'utilisation de l'Application, puis 30 jours après la demande de suppression (délai de réversibilité technique) ;
• Conseils IA : 12 mois maximum à compter de leur génération ;
• Traces d'acceptation des CGU : 5 ans à compter de la fin de la relation contractuelle (preuve légale) ;
• Journaux techniques et journaux d'erreurs : 12 mois maximum ;
• Jetons d'authentification (Sanctum / OAuth) : révoqués immédiatement à la déconnexion ou à la suppression du compte.

07Cookies & stockage local

L'Application n'utilise aucun cookie publicitaire ni traceur tiers. Seuls sont utilisés :

• les jetons d'authentification nécessaires à votre connexion (stockés dans le Keychain iOS / EncryptedSharedPreferences Android via expo-secure-store) ;
• une base SQLite locale et une zone clé-valeur (MMKV) pour le cache hors-ligne, le journal de mutations en attente de synchronisation, et vos préférences d'affichage.

Le site n'utilise pas non plus de cookie de mesure d'audience ni de cookie publicitaire.

08Sécurité

Geswork met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement des échanges (TLS 1.2+ obligatoire, HSTS), chiffrement au repos sur les bases de données, hachage bcrypt des mots de passe, contrôle d'accès strict des équipes techniques, journalisation des accès administratifs, rate limiting sur les endpoints sensibles et politique de mots de passe robustes.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, Geswork notifiera la CNIL et, le cas échéant, les utilisateurs concernés, dans les délais prévus par le RGPD.

09Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment des droits suivants sur vos données :

• Droit d'accès à vos données et obtention d'une copie ;
• Droit de rectification de données inexactes ou incomplètes ;
• Droit à l'effacement de votre compte et de vos données (voir §10) ;
• Droit à la limitation du traitement ;
• Droit à la portabilité : récupération de vos données dans un format structuré et lisible par machine (JSON) ;
• Droit d'opposition au traitement fondé sur l'intérêt légitime ;
• Droit de définir des directives relatives au sort de vos données après votre décès ;
• Droit d'introduire une réclamation auprès de la CNIL — www.cnil.fr.

Pour exercer ces droits, écrivez-nous à protection-donnees@gsme.fr. Nous répondons dans un délai maximum d'un mois à compter de la réception de la demande.

10Suppression du compte

Vous pouvez supprimer votre compte à tout moment, directement depuis l'Application :

La suppression entraîne :

• la révocation immédiate de tous les jetons d'accès (déconnexion de tous les appareils) ;
• la désactivation du compte et son retrait de l'Application sous 24 heures ;
• l'effacement complet des données associées (profil, routines, séances, séries, journal nutritionnel, recettes, mesures santé, objectifs, conseils IA, préférences) sous 30 jours ;
• la conservation des seules traces d'acceptation des CGU pendant la durée légale de prescription.

Cette suppression est irréversible. Vous pouvez préalablement exporter l'intégralité de vos données via la fonction d'export disponible dans Réglages → Exporter mes données.

11Données de santé & usage médical

Peu mais souvent est une application de bien-être et d'hygiène de vie. Elle ne constitue ni un dispositif médical au sens du règlement (UE) 2017/745, ni un outil de diagnostic. Les informations affichées (score de récupération, conseils du jour, recommandations sportives ou nutritionnelles) sont fournies à titre indicatif et ne se substituent en aucun cas à l'avis d'un professionnel de santé.

Si vous suivez un traitement médical, si vous êtes enceinte, ou si vous souffrez d'une pathologie chronique, consultez votre médecin avant toute modification significative de votre activité physique ou de votre alimentation.

12CGU & relation contractuelle

La présente politique de confidentialité complète et s'articule avec les Conditions générales d'utilisation de l'Application, qui régissent l'ensemble de la relation contractuelle entre l'utilisateur et Geswork.

13Modifications

Geswork se réserve le droit de modifier la présente politique pour refléter les évolutions techniques, légales ou des services. En cas de modification substantielle, vous en serez informé par notification dans l'Application et/ou par email. La date de dernière mise à jour figure en tête du présent document.

14Contact

Pour toute question relative à la présente politique ou à l'exercice de vos droits :

Dernière mise à jour : 19 mai 2026 — GESWORK SAS, éditeur de Peu mais souvent.