Sous-traitants des données personnelles

1. Avant-propos

Strenqo est édité et géré par Andreas Mondo (entreprise individuelle italienne, responsable du traitement).

Pour chaque sous-traitant, nous indiquons : raison sociale, localisation, pays d'hébergement des données, finalité du traitement, garanties de transfert pour les transferts hors UE. La liste reflète l'état au 24/05/2026. Tout nouveau sous-traitant sera notifié aux utilisateurs avec un préavis raisonnable.

2. Sous-traitants actifs

2.1 Supabase

• Raison sociale : Supabase Inc.
• Localisation : États-Unis (Delaware)
• Pays d'hébergement des données : Union européenne (eu-west-1)
• Finalité : base de données PostgreSQL, authentification, stockage de fichiers (Storage), exécution d'Edge Functions, sync temps réel
• Catégories de données : toutes les données utilisateur (profil, entraînements, nutrition, body check-in, photos, conversations AI Coach)
• Mécanisme de transfert : aucun transfert hors UE au repos. L'accès support par Supabase Inc. (USA) est encadré par un DPA avec CCT (Clauses Contractuelles Types)
• Site : supabase.com · Docs : privacy, terms

2.2 OpenAI

• Raison sociale : OpenAI, L.L.C. (USA) et OpenAI Ireland Ltd (UE)
• Localisation : États-Unis / Irlande
• Pays d'hébergement des données : États-Unis, avec traitement initial à Dublin pour les utilisateurs UE
• Finalité : génération des réponses AI Coach, analyse de photos d'aliments, génération de plans d'entraînement/nutrition
• Catégories de données : texte des conversations AI Coach, photos d'aliments, contexte utilisateur (profil, entraînements récents, poids) — uniquement si vous avez donné votre consentement explicite à l'AI Coach
• Mécanisme de transfert : EU-US Data Privacy Framework + CCT. OpenAI figure sur la DPF Participants List
• Site : openai.com · Docs : DPA, privacy

Note sur coach-micro : au 17/05/2026, la fonctionnalité « micro hint » du coach n'envoie pas de données à OpenAI ; la fonction côté serveur n'est pas déployée et l'app utilise un modèle de fallback local.

2.3 RevenueCat

• Raison sociale : RevenueCat, Inc.
• Localisation / hébergement : États-Unis
• Finalité : gestion de l'abonnement Pro (synchronisation de l'état de l'abonnement entre Apple App Store, Google Play et nos serveurs). Lors de la suppression du compte, l'abonné RevenueCat est supprimé en cascade via API
• Catégories de données : UUID utilisateur, état d'abonnement, identifiant de produit, événements du cycle de vie de l'abonnement
• Mécanisme de transfert : CCT dans le DPA de RevenueCat
• Notes : RevenueCat ne reçoit pas de données de paiement ni de données de santé
• Site : revenuecat.com · Docs : DPA, privacy

2.4 Resend

• Raison sociale : Resend, Inc.
• Localisation / hébergement : États-Unis
• Finalité : e-mails transactionnels — confirmation de suppression de compte, notifications de mise à jour des politiques. Non utilisé pour le marketing
• Catégories de données : adresse e-mail du destinataire, contenu des e-mails transactionnels
• Mécanisme de transfert : EU-US DPF (+ extension UK) + CCT. Resend est certifié sur la DPF Participants List
• Site : resend.com · Docs : DPA, RGPD

2.5 Sentry

• Raison sociale : Functional Software, Inc. (opérant dans l'UE sous le nom de Sentry GmbH)
• Localisation : États-Unis (maison-mère) / Allemagne (entité UE)
• Pays d'hébergement des données : Union européenne — Allemagne (ingest.de.sentry.io)
• Finalité : crash reporting et diagnostic des erreurs — uniquement avec consentement explicite
• Catégories de données : stack traces, breadcrumbs, version de l'app, modèle d'appareil, OS, identifiant utilisateur pseudonyme (UUID, pas l'e-mail). PII expurgées via le filtre beforeSend. L'expurgation est une mitigation, pas une garantie
• Mécanisme de transfert : aucun transfert hors UE pour le crash reporting
• Site : sentry.io · Docs : DPA, privacy

2.6 Apple

• Raison sociale : Apple Inc. (USA) / Apple Distribution International Ltd (Irlande, pour les utilisateurs UE)
• Localisation : États-Unis / Irlande
• Finalité : distribution App Store, achats in-app (IAP), notifications push (APNs), HealthKit sur l'appareil, Sign in with Apple
• Catégories de données : Apple ID (pour IAP), token push, données de santé sur l'appareil (non transférées à Apple par Strenqo)
• Mécanisme de transfert : décision d'adéquation UE (Irlande) / DPF (Apple Inc. listée) + garanties du Apple Developer Program
• Site : apple.com · privacy

2.7 Google

• Raison sociale : Google LLC (USA) / Google Ireland Ltd (Irlande, pour les utilisateurs UE)
• Localisation : États-Unis / Irlande
• Finalité : distribution Google Play, IAP, notifications push (FCM), Health Connect sur l'appareil, Google Maps SDK Android (rendu des tuiles de carte pour les itinéraires cardio outdoor)
• Catégories de données : compte Google (pour IAP), token push, données de santé sur l'appareil, coordonnées GPS (uniquement si vous utilisez les itinéraires cardio outdoor)
• Mécanisme de transfert : EU-US DPF (Google LLC listée) + CCT
• Site : google.com · privacy

2.8 OpenFoodFacts

• Raison sociale : Open Food Facts (association à but non lucratif)
• Localisation / hébergement : France (UE)
• Finalité : base de données alimentaire publique (recherche texte / code-barres)
• Catégories de données : aucune donnée personnelle de l'utilisateur Strenqo — les requêtes de recherche ne contiennent que du texte libre ou un code-barres, anonymisés avant l'envoi
• Mécanisme de transfert : aucun transfert hors UE
• Site : openfoodfacts.org

2.9 ipwho.is

• Localisation / hébergement : États-Unis
• Finalité : géolocalisation par IP — fallback primaire pour déterminer le pays de résidence lorsque les fallbacks locaux (profil, fuseau horaire, langue système) sont insuffisants
• Catégories de données : uniquement l'adresse IP de l'utilisateur. Aucun identifiant utilisateur, aucune donnée de santé, aucun cookie
• Mécanisme de transfert : CCT standard du prestataire
• Site : ipwho.is

2.10 ipapi.co

• Raison sociale : Kickfire LLC
• Localisation / hébergement : États-Unis
• Finalité : géolocalisation par IP — fallback secondaire, utilisé uniquement en cas d'échec de ipwho.is
• Catégories de données : uniquement l'adresse IP de l'utilisateur
• Mécanisme de transfert : CCT standard du prestataire
• Site : ipapi.co

2.11 Expo (EAS + Auth Proxy)

• Raison sociale : Expo, Inc.
• Localisation / hébergement : États-Unis
• Finalité :
  • Auth Proxy : lors du « Sign in with Google », le code d'autorisation OAuth transite par auth.expo.io avant d'être échangé contre le token final
  • Expo Application Services (EAS) : infrastructure de build d'app et de mises à jour Over-The-Air
• Catégories de données (auth proxy) : code d'autorisation Google OAuth en transit, refresh token en transit. Aucune donnée de santé reçue. La session finale est gérée directement par Supabase Auth
• Mécanisme de transfert : EU-US DPF + CCT
• Site : expo.dev

3. Sources de données tierces via OAuth (responsables autonomes)

Les fournisseurs listés ci-dessous ne sont pas des sous-traitants de Strenqo au sens de l'art. 28 RGPD. Ce sont des responsables du traitement autonomes des données qu'ils collectent depuis votre appareil wearable. Sur votre autorisation via OAuth, ils transmettent un sous-ensemble de ces données à notre backend, où Strenqo devient le responsable du traitement de la copie importée. Nous les listons ici, aux côtés de nos sous-traitants, pour assurer une transparence totale sur le flux de données.

3.1 Whoop

• Raison sociale : Whoop, Inc.
• Localisation : États-Unis (Boston, Massachusetts)
• Pays d'hébergement des données (chez eux) : États-Unis
• Leur rôle : responsable du traitement autonome (collecte les données depuis votre bracelet Whoop selon leur propre politique de confidentialité)
• Données que nous recevons après votre consentement OAuth : HRV brute (RMSSD), fréquence cardiaque au repos, phases de sommeil (durées profond/REM/léger/éveillé/in_bed/asleep), écart de température du poignet, échantillons de fréquence cardiaque par entraînement (lorsqu'exposés par leur API), horodatages de début/fin d'entraînement et type de sport
• Données que nous ne recevons PAS délibérément : Whoop recovery score, strain score (0–21), sleep performance score, day strain — c'est-à-dire toutes leurs métriques dérivées propriétaires
• Mécanisme de transfert (fournisseur → Strenqo) : CCT dans l'accord de partage de données de l'API Whoop ; la copie importée est ensuite stockée sur notre backend Supabase (UE)
• Révocation : Profil → Santé connectée → Déconnecter (révoque le refresh token tant sur notre backend que chez Whoop) ; également révocable depuis le tableau de bord de votre compte Whoop
• Site : whoop.com
• Politique du fournisseur : whoop.com/legal/privacy

3.2 Oura

• Raison sociale : Ōura Health Oy
• Localisation : Finlande (Oulu) — Union européenne
• Pays d'hébergement des données (chez eux) : Union européenne (Finlande)
• Leur rôle : responsable du traitement autonome
• Données que nous recevons après votre consentement OAuth : HRV brute, fréquence cardiaque au repos, phases de sommeil, lectures SpO₂, métadonnées d'entraînement, écart de température du poignet
• Données que nous ne recevons PAS délibérément : Oura readiness score, sleep score, activity score
• Mécanisme de transfert : intra-UE (Oura est un responsable du traitement UE). Notre copie est hébergée sur Supabase UE
• Révocation : Profil → Santé connectée → Déconnecter ; également révocable depuis le tableau de bord de votre compte Oura
• Site : ouraring.com
• Politique du fournisseur : ouraring.com/privacy

3.3 Clause-type — futurs fournisseurs cloud wearable

Strenqo pourra, à l'avenir, intégrer d'autres plateformes cloud wearable selon le même modèle OAuth (exemples : Garmin Connect, Polar Flow, Fitbit / Google Fit, Suunto, Coros, Withings, Samsung Health). Lorsque cela se produira :

1. Le fournisseur sera ajouté à cette section avec le même niveau de détail (raison sociale, localisation, pays d'hébergement des données, données reçues, données non reçues, mécanisme de transfert, voie de révocation).
2. Les utilisateurs seront notifiés à l'avance via l'Edge Function notify-policy-update et/ou in-app.
3. Le même principe s'applique : Strenqo n'importe que les données biométriques brutes strictement nécessaires à ses propres algorithmes ; nous n'importons pas les scores propriétaires du fournisseur.
4. Chaque fournisseur reste un responsable autonome. Il ne s'agit pas de sous-traitants au sens de l'art. 28.

4. Sous-traitants que nous N'utilisons PAS

Par transparence, Strenqo n'utilise pas :

• SDK publicitaires tiers (AdMob, Meta Audience Network, Unity Ads, AppLovin, IronSource)
• SDK d'analyse tiers (Google Analytics for Firebase, Mixpanel, Amplitude, PostHog, Heap)
• SDK d'attribution / mesure mobile (AppsFlyer, Adjust, Branch, Singular)
• Trackers comportementaux (Facebook SDK, TikTok SDK)
• Services de profilage cross-context à des fins de marketing

5. Synthèse par type de données

6. Notification des modifications

Nous ajouterons, retirerons ou remplacerons des sous-traitants uniquement pour des besoins opérationnels légitimes. La date en haut sera mise à jour. Pour les modifications matérielles (par ex. nouveau sous-traitant dans un pays tiers, nouveau transfert hors UE, nouveau type de données partagées), les utilisateurs seront notifiés par e-mail via l'Edge Function notify-policy-update et/ou in-app. Vous pouvez toujours révoquer votre consentement aux traitements optionnels ou supprimer votre compte.

7. Contacts

• Responsable : Andreas Mondo (entreprise individuelle) — Via Pianezza 16, 10040 Givoletto (TO), Italie
• E-mail : strenqo-support@strenqo.eu
• PEC : andreasmondo@ultracert.it
• DPO : non désigné (voir Politique de Confidentialité §1 pour la justification)