Politique de confidentialité

Rozwo est un tableau de bord d’entraînement indépendant, construit sur l’API Strava. Cette page décrit exactement ce qu’il lit, ce qu’il conserve, et qui d’autre y a accès. Elle est écrite d’après le comportement réel de l’application, pas d’après un modèle type.

Responsable du traitement

Rozwo est un projet personnel opéré par Pierre-Loan Janczak, responsable du traitement au sens du RGPD. Pour toute question sur cette politique, ou pour demander un effacement, écris à loan.janczak+rozwo@gmail.com.

Ce que tu autorises

La connexion utilise le flux OAuth 2.0 de Strava. Tu autorises depuis le site de Strava — Rozwo ne voit jamais ton mot de passe Strava — et tu accordes trois permissions :

Permission	Ce qu’elle autorise
`read`	Lire ton profil public
`activity:read_all`	Lire tes activités, y compris celles marquées privées
`profile:read_all`	Lire ton profil complet, y compris les champs privés

Tu peux révoquer cette autorisation à tout moment depuis tes réglages Strava, ou en te déconnectant depuis Rozwo, ce qui la révoque pour toi.

Ce qui est conservé

Les jetons Strava. Tes jetons d’accès et de rafraîchissement Strava sont conservés côté serveur, dans une session Redis (Valkey) expirant au bout de 24 heures. Ils ne sont jamais transmis à ton navigateur et ne quittent jamais le backend.

Ta session. Un jeton de session signé, valable 15 minutes, et un jeton de rafraîchissement. Ni l’un ni l’autre ne contient autre chose que ton identifiant d’athlète Strava.

Tes activités. Pour chaque activité synchronisée : titre, date, distance, temps en mouvement et temps écoulé, dénivelé positif, type de sport, vitesse moyenne et maximale, et — lorsque Strava les fournit — cadence, température, puissance, kilojoules, calories, fréquence cardiaque moyenne et maximale, le suffer score de Strava et ton effort perçu. Les splits au kilomètre sont conservés avec.

Les métriques calculées. Charge d’entraînement sur 7 et 28 jours, volumes hebdomadaires, ratio aigu/chronique, ratio de fatigue et fréquence cardiaque moyenne sur 7 jours, recalculés à chaque synchronisation.

Ce que tu saisis. Ton passeport d’athlète (niveau de pratique, sport principal et sports secondaires, années de pratique, heures hebdomadaires, année de naissance, et facultativement taille, fréquence cardiaque de repos et maximale, séances par semaine, volume annuel, objectif principal, blessures, limitations actuelles et notes libres), tes courses objectifs, tes débriefs par activité (effort perçu et commentaire) et tes évaluations des conseils.

Les conseils d’entraînement. La recommandation, son raisonnement, son niveau de risque et sa trame sur trois jours, conservés pour que le tableau de bord puisse afficher ton historique.

Pourquoi ces données sont traitées

Le RGPD exige une base légale pour chaque traitement. Il y en a deux ici.

L’exécution du service que tu demandes (art. 6.1.b). Lire tes activités Strava, calculer ta charge d’entraînement, générer des conseils et conserver ce que tu saisis, c’est précisément Rozwo. Connecter ton compte Strava est la demande ; rien ne se produit avant.

Un intérêt légitime à maintenir le service en état de marche (art. 6.1.f). Les rapports d’erreur permettent de trouver et de corriger un bug, et une protection élémentaire contre les abus garde le service disponible. Cela se limite à ce qui est nécessaire, et tu peux t’y opposer à tout moment en écrivant à loan.janczak+rozwo@gmail.com.

Il n’y a ni publicité, ni profilage marketing, ni revente de données — c’est aussi pourquoi on ne te demande pas d’accepter des cookies : le seul stockage navigateur utilisé est celui qui te garde connecté.

Ce qui est envoyé au fournisseur d’IA

Les conseils sont générés par un grand modèle de langage hébergé par Groq, un fournisseur situé aux États-Unis. Chaque requête contient exactement ceci, et rien d’autre :

la charge sur 7 jours (distance, durée, nombre d’activités),
la charge sur 28 jours (distance, durée, nombre d’activités),
les volumes hebdomadaires,
le ratio de fatigue,
la fréquence cardiaque moyenne sur 7 jours,
le ratio aigu/chronique.

Cet envoi ne contient aucun identifiant : ni ton identifiant d’athlète, ni ton nom, ni ton adresse e-mail. Tes jetons Strava, les titres de tes activités, tes traces GPS et les champs libres de ton passeport d’athlète n’en font pas partie non plus.

Autres sous-traitants

Render héberge l’application et sa base de données PostgreSQL.
Sentry reçoit uniquement des rapports d’erreur — pas d’enregistrement de session, pas de traçage de performance — sur sa région européenne. Un rapport d’erreur peut incidemment contenir un identifiant technique comme ton identifiant d’athlète.
Strava est la source des données d’activité, régie par la politique de confidentialité de Strava.

Tes données ne sont pas vendues, et ne servent à entraîner aucun modèle.

Où vont tes données

Deux des prestataires qui détiennent tes données sont aux États-Unis : Render, qui héberge l’application et sa base de données, et Groq, qui génère les conseils. Tes données sortent donc de l’Union européenne.

Ces transferts reposent sur les clauses contractuelles types adoptées par la Commission européenne, qui font partie de l’accord de sous-traitance conclu avec chacun — celui de Render et celui de Groq. Les deux sont publiés : tu n’as pas à me croire sur parole.

Sentry, lui, reste dans l’Union européenne. Le projet est sur la région EU de Sentry, donc les rapports d’erreur y sont collectés et conservés plutôt que de traverser l’Atlantique.

Strava est un cas distinct : il s’agit de ton propre compte, régi par la politique de confidentialité de Strava et par l’autorisation que tu lui as accordée.

Durée de conservation

Les jetons de session expirent après 24 heures d’inactivité.

Tes activités, tes métriques, tes conseils et tout ce que tu as saisi sont conservés tant que tu utilises Rozwo, puis pendant 24 mois après la dernière activité synchronisée sur ton compte. Au-delà, le compte est considéré comme dormant et tout ce qui s’y rattache est supprimé.

Tu n’as pas à attendre ce délai. Te déconnecter depuis Rozwo révoque le jeton Strava, met fin à ta session et arrête toute nouvelle synchronisation — mais cela ne supprime pas, à soi seul, les enregistrements déjà stockés. Pour les faire effacer immédiatement, écris à loan.janczak+rozwo@gmail.com depuis l’adresse associée à ton compte Strava, ou en indiquant ton identifiant d’athlète Strava ; les données sont supprimées et tu reçois une confirmation.

Tes droits

Au titre du RGPD, tu peux demander l’accès à tes données, leur rectification, leur effacement, une copie portable, ou t’opposer à leur traitement. Un seul e-mail à loan.janczak+rozwo@gmail.com couvre tous ces droits. Tu peux également introduire une réclamation auprès de ton autorité de contrôle — en France, la CNIL.

Cookies

Rozwo ne dépose aucun cookie publicitaire ni de mesure d’audience. Le seul stockage navigateur utilisé est celui qui te maintient connecté.

Modifications

Toute modification substantielle de cette politique se reflète dans la date de mise à jour ci-dessus ; il vaut donc la peine d’y jeter un œil de temps en temps.