Déclaration sur l’intégration des plateformes d’activité

Saturday Inc. (« Saturday », « nous »), élabore des prescriptions personnalisées de carburant et d’hydratation pour les athlètes d’endurance. Pour rendre ces prescriptions plus précises, vous pouvez connecter un compte tiers de plateforme de fitness ou d’appareil afin que nous puissions lire vos données d’entraînement — et, pour deux plateformes, réécrire votre plan d’alimentation finalisé sur votre propre activité. Cette page vous indique — clairement et sans rien exagérer — exactement quelles plateformes se connectent, ce que nous récupérons de chacune, ce que nous réécrivons, comment nous l’utilisons, la base juridique qui le justifie, ce que nous affichons, comment nous le sécurisons et comment vous gardez le contrôle.

1. Ce que couvre cette déclaration

Cette déclaration couvre les intégrations de plateformes d’activité de Saturday — les connexions à des services tels que Garmin, COROS, Wahoo, intervals.icu, Polar, Suunto, TrainingPeaks et Apple Health. Elle ne couvre pas les données que vous saisissez vous-même dans l’application (cela relève de la Politique de confidentialité de l’application et de la Politique de confidentialité des données de santé du consommateur), ni le connecteur Saturday Claude et l’API Coach (cela relève de la Déclaration de confidentialité du connecteur et de l’API).

Tout au long de ce document, « vous » et « votre » désignent l’athlète qui connecte un compte. Chaque intégration est connectée et déconnectée par vous, avec votre consentement explicite, et ne lit que vos propres données. Saturday Inc. est le responsable du traitement des données des plateformes connectées décrites ici — nous déterminons les finalités et les moyens de leur traitement. Chaque plateforme connectée est un responsable du traitement indépendant pour les données détenues de son côté.

2. Ce que nous récupérons, par plateforme

Nos intégrations lisent votre historique d’entraînement : nous importons les activités terminées et, lorsque la plateforme le propose, les signaux de bien-être (variabilité de la fréquence cardiaque, sommeil, fréquence cardiaque au repos, récupération). Nous les importons pour calculer des prescriptions de carburant, d’hydratation et d’électrolytes plus précises pour vous. Nous pratiquons la minimisation des données — nous ne récupérons pas de données que nous n’utilisons pas, et nous n’importons rien depuis une plateforme que vous n’avez pas connectée. (Pour les données limitées que nous réécrivons vers deux plateformes, voir la Section 3.)

Plateforme	Ce que Saturday lit	Utilisé pour améliorer nos modèles ?
Garmin	Activités terminées et leurs flux (puissance, fréquence cardiaque, allure, GPS, température), ainsi que le bien-être (VFC, sommeil, fréquence cardiaque au repos).	Oui — uniquement avec votre consentement explicite (voir Section 5).
COROS	Activités terminées et leurs flux, ainsi que les signaux de récupération/bien-être.	Oui — avec votre consentement et la déclaration sur l’utilisation de l’IA (voir Sections 5–6).
intervals.icu	Activités planifiées et terminées, flux seconde par seconde, et bien-être (VFC, sommeil, fréquence cardiaque au repos).	Oui.
Apple Health	Entraînements, fréquence cardiaque, sommeil et énergie active depuis votre appareil, avec votre autorisation sur l’appareil.	Oui — pour personnaliser vos propres prescriptions.
Wahoo	Activités terminées et leurs flux (puissance, puissance normalisée, fréquence cardiaque).	Non — présenté à vous uniquement ; non utilisé pour entraîner nos modèles.
Polar	Activités terminées ainsi que la récupération/VFC Nightly Recharge.	Non — présenté à vous uniquement.
Suunto	Activités terminées et leurs flux, y compris la température ambiante.	Non — présenté à vous uniquement.
TrainingPeaks	Séances terminées et données d’entraînement structuré (p. ex. TSS).	Non — présenté à vous uniquement.

« Présenté à vous uniquement » signifie que les données vous sont réaffichées et servent à calculer vos prescriptions, mais qu’elles sont exclues des données que nous utilisons pour entraîner nos modèles d’apprentissage automatique. Cette distinction est respectée dans le code, et pas seulement sur le papier (voir Section 6). Nous ne nous connectons pas à Strava ni à Oura, n’en importons aucune donnée et ne les utilisons pas pour l’entraînement.

3. Ce que nous réécrivons (intervals.icu et TrainingPeaks)

La plupart de nos intégrations sont en lecture seule. Pour deux plateformes — intervals.icu et TrainingPeaks — Saturday peut également réécrire un seul commentaire sur votre propre activité : le plan de carburant, d’hydratation et d’électrolytes que nous avons calculé pour cette séance, publié sous forme de commentaire sur l’entraînement correspondant dans votre compte, afin que vous puissiez voir votre plan là où vous vous entraînez déjà. Ce sont les seules données que Saturday écrit sur une plateforme connectée.

• Ce sont vos données, qui vont vers votre propre compte. Nous n’écrivons que sur l’activité que vous possédez, sur la plateforme que vous avez connectée, et uniquement la prescription que Saturday a calculée pour cette activité. Nous n’écrivons jamais sur le compte de quelqu’un d’autre, ne publions jamais sur un fil public ni sur le compte d’un coach, et ne modifions jamais les données d’entraînement sous-jacentes de votre activité (puissance, fréquence cardiaque, distance ou l’entraînement lui-même).
• Un seul commentaire, tenu à jour — jamais une avalanche. Saturday maintient un unique commentaire canonique par activité. Si votre plan change, nous modifions ce seul commentaire sur place plutôt que d’en ajouter un autre ; vous ne recevrez pas de commentaires en double ou répétés.
• C’est désactivé tant que vous ne l’activez pas, et vous pouvez le désactiver à tout moment. La réécriture est un paramètre que vous contrôlez dans Saturday. La désactiver arrête immédiatement toute réécriture future ; les commentaires déjà écrits restent sur vos activités, sous votre contrôle, jusqu’à ce que vous les supprimiez (vous pouvez les supprimer sur la plateforme elle-même à tout moment).
• Nous n’écrivons pas vers Garmin, COROS, Wahoo, Polar, Suunto ou Apple Health. Ces intégrations restent en lecture seule.

4. Attribution — à qui appartiennent les données que vous consultez

Lorsque Saturday vous affiche des données — ou une prescription dérivée de données — provenant d’une plateforme connectée, nous attribuons la source clairement et de manière au moins aussi visible que notre propre marque sur le même écran :

• Garmin. Les données issues de Garmin et toute prescription qui en découle portent la mention « Propulsé par Garmin » accompagnée du modèle d’appareil spécifique qui les a enregistrées (par exemple, « Propulsé par Garmin — Forerunner 965 »). Le modèle d’appareil est lu à partir de l’activité elle-même, il est donc exact pour chaque activité plutôt qu’une mention générique.
• COROS. Les données issues de COROS portent la mention « Propulsé par COROS » accompagnée du modèle d’appareil spécifique (par exemple, « Propulsé par COROS — PACE 3 »). Les résultats dérivés de COROS sont présentés à des fins de forme physique et de performance uniquement et ne constituent pas des conseils médicaux.
• Wahoo. Les données issues de Wahoo portent la mention « Propulsé par Wahoo ».
• Polar, Suunto, TrainingPeaks. Les données de ces plateformes sont attribuées à leur source partout où elles sont affichées.
• intervals.icu et Apple Health. Ces sources ne nécessitent pas d’attribution ; lorsqu’un appareil Garmin a enregistré une activité qui nous est parvenue via une autre plateforme, l’attribution de l’appareil Garmin l’accompagne tout de même.

5. Déclaration de transparence sur l’IA (Garmin et COROS)

Cette section constitue le préalable de consentement à l’utilisation des données Garmin ou COROS pour améliorer nos modèles. Nous n’utiliserons pas vos données Garmin ou COROS pour entraîner nos modèles à moins que vous n’ayez donné le consentement explicite décrit ici.

(a) Que nous utilisons l’IA, et dans quel but

Saturday utilise des modèles d’apprentissage automatique pour améliorer la précision de ses recommandations de carburant, d’hydratation et d’électrolytes. Avec votre consentement, les données d’entraînement de ces modèles peuvent inclure les données d’activité et de bien-être que nous importons de vos comptes Garmin et COROS — sous forme dé-identifiée et agrégée, en tant que tendances observées chez de nombreux athlètes, jamais en tant que profil stocké que le modèle pourrait restituer comme « vous ».

(b) Que nous demandons avant de traiter

Nous demandons votre consentement explicite avant que l’une quelconque de vos données Garmin ou COROS ne soit utilisée pour entraîner nos modèles. Connecter le compte pour voir vos données dans l’application ne vous inscrit pas, à lui seul, à l’entraînement des modèles ; l’utilisation pour l’entraînement est un choix affirmatif distinct que vous faites. Tant que vous ne donnez pas ce consentement, vos données Garmin et COROS vous sont uniquement réaffichées et sont exclues de notre ensemble d’entraînement.

(c) Que vous pouvez retirer votre consentement facilement

Vous pouvez retirer votre consentement à tout moment, facilement, depuis les paramètres de votre compte Saturday — et déconnecter l’intégration le retire également. Lorsque vous le retirez, nous cessons d’utiliser ces données pour l’avenir, supprimons vos données identifiables selon le calendrier de la Section 9, et votre influence résiduelle dé-identifiée disparaît de nos modèles au rythme de réentraînement de la Section 7.

6. Comment nous utilisons les données

• Pour vous servir. Les données de chaque plateforme connectée servent à calculer et à afficher vos prescriptions et votre contexte d’entraînement, et — lorsque vous activez la réécriture (Section 3) — à publier votre plan sur votre propre activité intervals.icu ou TrainingPeaks. C’est le comportement par défaut, qui s’applique à toutes les sources.
• Pour améliorer nos modèles — uniquement là où c’est autorisé, uniquement avec consentement. Nous entraînons nos modèles d’alimentation sur des données uniquement issues de sources dont les conditions le permettent : Garmin et COROS (avec le consentement de la Section 5), intervals.icu et Apple Health. Nous n’entraînons pas sur les données Wahoo, Polar, Suunto ou TrainingPeaks — celles-ci vous sont uniquement réaffichées. Nous ne nous connectons pas du tout à Strava ni à Oura et ne les utilisons pas pour l’entraînement.
• Imposé dans le code. Chaque activité importée est marquée de sa source et d’un indicateur précisant si l’entraînement est autorisé. Nos requêtes d’entraînement ne lisent que les lignes autorisées ; le calcul de vos propres prescriptions lit l’ensemble de vos données connectées. Il s’agit d’un filtre mécanique, et non d’une promesse dont nous devons nous souvenir.
• L’utilisation par Wahoo de vos données. Indépendamment de la façon dont Saturday les utilise, Wahoo peut utiliser les données qu’il fournit à ses propres fins commerciales, conformément aux conditions propres à Wahoo. Nous le divulguons parce que l’accord avec Wahoo l’exige ; cela ne change rien à la façon dont Saturday utilise vos données (présentées à vous uniquement, jamais utilisées pour entraîner nos modèles).
• Ce que nous ne faisons jamais. Nous ne vendons pas vos données, ne les « partageons » pas à des fins de publicité comportementale inter-contextes, ne les utilisons pas du tout à des fins publicitaires, ne les partageons pas avec des courtiers en données (data brokers), ne créons pas de classements ni de comparatifs entre athlètes à partir des données d’une plateforme, et ne les utilisons à aucune autre fin que celles décrites ci-dessus. Notre assistant de coaching conversationnel n’est pas entraîné sur vos données individuelles d’activité ou de santé.

7. Base juridique, décisions automatisées et nos modèles

Base juridique du traitement (RGPD / RGPD du Royaume-Uni)

Si vous vous trouvez dans l’Espace économique européen, au Royaume-Uni ou en Suisse, nous nous appuyons sur les bases juridiques suivantes :

• Exécution d’un contrat (Art. 6(1)(b)) — pour lire vos activités connectées et calculer les prescriptions auxquelles vous avez souscrit, et pour réécrire votre plan là où vous l’avez activé.
• Votre consentement explicite (Art. 6(1)(a) et, parce que les données d’activité et de bien-être sont des données de santé et donc des données de catégorie particulière, Art. 9(2)(a)) — pour connecter chaque intégration en premier lieu et, séparément, pour utiliser les données Garmin ou COROS afin d’améliorer nos modèles (Section 5). Votre consentement à connecter une intégration de données de santé est demandé spécifiquement et de manière autonome ; il n’est pas regroupé dans des conditions générales, et vous pouvez le retirer à tout moment sans porter atteinte à la licéité du traitement effectué avant votre retrait.
• Intérêts légitimes (Art. 6(1)(f)) — uniquement pour des finalités opérationnelles restreintes telles que la sécurisation de l’intégration, la prévention des abus et le fait d’empêcher la réécriture idempotente de créer des doublons, lorsque ces intérêts ne sont pas supplantés par vos droits.

Prise de décision automatisée et profilage (Art. 13(2)(f) / Art. 22)

Les prescriptions de Saturday sont produites par des algorithmes qui profilent vos données d’entraînement et de bien-être pour estimer vos besoins en liquides, en sodium et en glucides — c’est la fonction principale que vous avez demandée. La logique sous-jacente, en termes simples : nous combinons vos mesures corporelles et vos préférences déclarées avec l’intensité, la durée et les conditions environnementales de chaque séance (et, avec votre consentement, les tendances apprises par le modèle chez de nombreux athlètes) pour calculer un apport recommandé. Ces recommandations sont des conseils que vous pouvez toujours ignorer ou outrepasser ; elles ne servent pas à prendre des décisions produisant des effets juridiques ou des effets significatifs similaires à votre égard, et ne constituent donc pas une prise de décision exclusivement automatisée au sens de l’Article 22. Si vous avez des questions sur la façon dont vos recommandations sont calculées, ou si vous souhaitez qu’une personne les examine, vous pouvez nous contacter.

Vos données et nos modèles

Saturday améliore ses recommandations d’alimentation à l’aide de modèles d’apprentissage automatique entraînés sur des données dé-identifiées et agrégées — des tendances observées chez de nombreux athlètes, jamais un profil stocké de vous que le modèle pourrait restituer. Nous ne pouvons pas pénétrer dans un modèle déjà entraîné pour en extraire une personne ; personne ne le peut. À la place, nous réentraînons nos modèles à un rythme mensuel régulier à partir de données qui ne vous incluent plus, de sorte que toute petite influence résiduelle de vos données dé-identifiées disparaît complètement au plus tard en un cycle de réentraînement — en moins de 90 jours, et généralement environ 30. Cela est conforme aux orientations en matière de protection des données selon lesquelles les données personnelles doivent être effacées, tandis que les dérivés agrégés ou anonymisés qui ne peuvent pas être de nouveau reliés à vous échappent à l’obligation d’effacement. Nous n’entraînons jamais que sur des données issues de sources dont les conditions le permettent, et nous respectons les règles de suppression propres à chaque source.

8. Consentement et retrait — chaque source

Vous connectez chaque intégration vous-même via l’écran d’autorisation propre à cette plateforme, qui vous montre ce que vous accordez avant que vous ne l’accordiez. Nous obtenons votre consentement affirmatif avant de collecter depuis une source connectée, et un choix affirmatif distinct régit chaque utilisation pour l’entraînement des modèles et pour la réécriture. Vous pouvez retirer votre consentement à tout moment :

• Déconnectez dans Saturday depuis les paramètres de votre compte — cela révoque la connexion et déclenche la suppression (Section 9).
• Révoquez à la source — vous pouvez aussi révoquer l’accès de Saturday depuis les paramètres des applications connectées de la plateforme elle-même ; nous traitons une révocation en amont exactement comme une déconnexion dans l’application.
• Retirez le consentement à l’entraînement des modèles pour Garmin et COROS séparément, sans vous déconnecter, depuis les paramètres de votre compte Saturday (Section 5c).
• Désactivez la réécriture pour intervals.icu et TrainingPeaks séparément, sans vous déconnecter, depuis les paramètres de votre compte Saturday (Section 3).

9. Suppression, conservation et vos droits

Lorsque vous nous demandez de supprimer votre compte ou de déconnecter une intégration, nous supprimons vos données identifiables dans un délai de 24 heures — les données brutes d’activité et de bien-être que nous avons reçues, les copies présentes dans notre base de données et notre entrepôt d’analyse, les caractéristiques personnalisées que nous en avons dérivées, ainsi que vos identifiants d’accès stockés pour cette plateforme. Notre moteur de suppression vise moins d’une heure ; 24 heures est la garantie maximale qui absorbe les nouvelles tentatives et les allers-retours avec les fournisseurs. Nous déclenchons également immédiatement la déconnexion/déautorisation de la plateforme afin qu’elle cesse de nous envoyer de nouvelles données. Déconnecter une seule intégration supprime les données importées de cette plateforme et révoque cette connexion ; la suppression complète du compte supprime tout.

• Engagements par plateforme que nous respectons. Les données COROS sont supprimées ou dé-identifiées dans les 24 heures suivant la déconnexion, avec une conservation plafonnée à 90 jours ; les données Wahoo sont supprimées à la déconnexion (et dans les 48 heures suivant une demande de Wahoo) ; les données Garmin sont purgées — y compris des sauvegardes — lorsque vous fermez votre compte ou retirez votre consentement. Nous adoptons le plus strict de ces délais (24 heures) comme notre promesse unique et uniforme envers vous.
• Conservation. Les données des plateformes connectées ne sont conservées que tant que votre compte et cette intégration sont actifs, puis supprimées selon le délai de 24 heures ci-dessus. Nous ne conservons pas les données d’une intégration après que vous l’avez déconnectée, au-delà de la brève fenêtre dont le moteur de suppression a besoin pour aboutir.
• Vos droits (RGPD / RGPD du Royaume-Uni). Vous avez le droit d’accéder aux données que nous détenons à votre sujet (Art. 15) ; de rectifier les données inexactes (Art. 16) ; de les effacer (Art. 17) ; de limiter notre traitement (Art. 18) ; à la portabilité des données — recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre à un autre responsable du traitement lorsque cela est techniquement possible (Art. 20) ; et de vous opposer au traitement, y compris tout traitement fondé sur les intérêts légitimes (Art. 21). Lorsque le traitement repose sur le consentement, vous pouvez retirer ce consentement à tout moment. Vous avez également le droit d’introduire une réclamation auprès de votre autorité de contrôle locale (autorité de protection des données).
• Vos droits (droit des États américains). Selon votre État, vous disposez de droits pour connaître, consulter, supprimer et corriger vos données, vous opposer à toute vente ou « partage », et limiter l’utilisation des informations personnelles sensibles. Saturday ne vend pas vos données et ne les utilise pas à des fins de publicité comportementale inter-contextes, il n’y a donc rien à refuser — mais vous pouvez exercer ce droit à tout moment. Les données de santé et biométriques sont traitées comme des informations personnelles sensibles et ne sont utilisées que pour fournir et améliorer le service d’alimentation que vous avez demandé.
• Données de santé du consommateur (MHMDA de l’État de Washington, Nevada SB 370, Connecticut). Les données d’activité et de bien-être connectées sont des « données de santé du consommateur » au sens de ces lois. Nous ne les collectons et ne les partageons qu’avec votre consentement affirmatif ou dans la stricte mesure nécessaire pour fournir le service que vous avez demandé ; nous ne les vendons jamais (une vente nécessiterait votre autorisation signée distincte, que nous ne sollicitons pas puisque nous ne vendons pas). Vous pouvez confirmer ce que nous collectons et avec qui nous le partageons, retirer votre consentement et demander la suppression, et vous pouvez faire appel d’une demande refusée. Notre Politique de confidentialité des données de santé du consommateur dédiée régit ces droits dans leur intégralité.
• Comment les exercer. Vous pouvez déconnecter toute intégration et demander la suppression, l’exportation ou la correction depuis les paramètres de votre compte Saturday, ou en nous contactant aux coordonnées figurant au bas de cette page. Nous confirmons la réception et répondons dans les délais exigés par la loi applicable (par exemple, sous 30 jours au titre du RGPD et sous 45 jours au titre des lois américaines sur la confidentialité des États, avec une prolongation uniquement lorsque la loi l’autorise). Nous ne vous traiterons pas de manière discriminatoire pour avoir exercé l’un de ces droits, même si le retrait de votre consentement pour une intégration mettra fin à la personnalisation qui en dépendait.

10. Sécurité, sous-traitants et transferts internationaux

Sécurité du traitement

Nous protégeons les données des plateformes connectées par des mesures techniques et organisationnelles appropriées : chiffrement en transit (TLS) et au repos, chiffrement par utilisateur de vos identifiants de plateforme stockés, règles de sécurité Firestore et contrôles d’accès qui limitent qui et quoi peut lire vos données, ainsi que la signature des requêtes et la protection contre le rejeu sur les webhooks que les plateformes nous envoient. Aucun système n’est parfaitement sécurisé, mais nous prenons des mesures raisonnables et actuelles pour protéger vos informations.

Sous-traitants

Les données des plateformes connectées circulent uniquement entre l’API de la plateforme, l’API de Saturday et l’infrastructure existante de Saturday. Nos sous-traitants pour ces données sont Google Cloud (hébergement de l’application, stockage des données et notre entrepôt d’analyse) et Google Cloud Vertex AI (le service de modèles utilisé pour les rapports d’IA à la demande), chacun agissant en tant que sous-traitant pour notre compte dans le cadre d’un accord de traitement des données. Nous n’introduisons pas de nouveau chemin de données vers un tiers pour vos données connectées, et nous ne les redistribuons pas. Les plateformes connectées elles-mêmes (Garmin, COROS, Wahoo, intervals.icu, Polar, Suunto, TrainingPeaks, Apple) sont des responsables du traitement indépendants pour les données détenues de leur côté, et non des sous-traitants de Saturday.

Transferts internationaux de données

Saturday Inc. est établie aux États-Unis et nos serveurs y sont situés. Si vous connectez une intégration depuis l’extérieur des États-Unis, vos données de plateforme connectée seront transférées et traitées aux États-Unis. Pour les transferts depuis l’EEE, le Royaume-Uni et la Suisse, nous nous appuyons sur les Clauses contractuelles types de la Commission européenne (Module 1 : de responsable du traitement à responsable du traitement, 2021) et sur l’Addendum britannique sur les transferts internationaux de données (2022) comme mécanisme juridique, nous avons réalisé des évaluations d’adéquation Schrems II, et nous appliquons des mesures supplémentaires lorsque cela est approprié. Nos sous-traitants maintiennent leurs propres mécanismes de transfert appropriés.

11. Données des enfants

Saturday et ses intégrations ne s’adressent pas aux enfants de moins de 16 ans, et nous ne laissons pas sciemment un enfant de moins de 16 ans connecter un compte de plateforme de fitness ou d’appareil. Si nous apprenons que nous avons collecté des données de plateforme connectée auprès d’un enfant de moins de 16 ans, nous les supprimerons rapidement. Un parent ou un tuteur qui pense que son enfant a connecté un compte doit nous contacter aux coordonnées figurant au bas de cette page.

12. Notification de violation de données

En cas de violation affectant les données des plateformes connectées et présentant un risque pour vos droits, nous informerons les utilisateurs concernés sans retard injustifié et au plus tard 72 heures après en avoir pris connaissance (comme l’exige le RGPD), et nous notifierons les autorités de contrôle compétentes selon les exigences. En tant que fournisseur d’un service de santé non couvert par la HIPAA, nous respectons également la FTC Health Breach Notification Rule des États-Unis ainsi que les lois étatiques applicables en matière de notification de violation, y compris la notification des personnes concernées et des régulateurs dans les délais que ces lois exigent.

13. Modifications de la présente déclaration

Si nous ajoutons une nouvelle intégration, modifions ce qu’une intégration existante lit ou écrit, ou changeons la façon dont nous utilisons les données connectées, nous mettrons à jour cette page et sa date d’entrée en vigueur, et — lorsque le changement est substantiel — vous en informerons dans l’application avant son entrée en vigueur et solliciterons un consentement renouvelé là où la loi l’exige.