Introduction
Qui est Power Partners
Power Partners SASU
14 rue de la Mairie
92320 Châtillon, France
SIRET : 91939338900011
TVA intracommunautaire : FR20919393389
Représentant légal : Johan Galzy, Président
Email : johan@powerpartners.fr
Power Partners édite une plateforme B2B de sport et de bien-être en entreprise. Elle comprend une application mobile (iOS, Android) destinée aux collaborateurs des entreprises clientes, un site vitrine (powerpartners.fr), et un service de coachs et de cours collectifs en entreprise.
Notre double qualité au regard du RGPD
Le Règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD ») distingue deux qualifications principales :
- Le responsable de traitement : celui qui détermine les finalités et les moyens du traitement.
- Le sous-traitant : celui qui traite les données pour le compte du responsable de traitement, sur instructions documentées.
Power Partners revêt alternativement ces deux qualités selon les traitements :
| Traitements | Qualification de Power Partners |
|---|---|
| Visiteurs du site, formulaires de contact et de démonstration, coachs sportifs partenaires, inscriptions aux événements ponctuels, administration interne. | Responsable de traitement |
| Données des collaborateurs utilisateurs de l'application : comptes, santé, gamification, Coach IA, réservations, analytics RH, pulse surveys, notifications, sessions de groupe. | Sous-traitant, pour le compte de chaque entreprise cliente, responsable de traitement |
Comment lire cette politique
Partie 1
Vous êtes visiteur du site, prospect, client B2B, coach partenaire, ou vous vous inscrivez à un événement ponctuel. Power Partners est responsable de traitement.
Partie 2
Vous utilisez l'application Power Partners. Le responsable de traitement de vos données est votre employeur, Power Partners agit comme sous-traitant.
Partie 3
Dispositions applicables dans tous les cas : cookies, sécurité, exercice de vos droits, réclamation CNIL et coordonnées.
Pour toute question sur le traitement de vos données, l'exercice de vos droits ou un signalement d'incident, voir la Partie 3.6.
Partie 1 : Power Partners responsable de traitement
Cette partie s'applique si vous êtes :
- visiteur du site powerpartners.fr ;
- prospect ayant rempli un formulaire de contact ou de démonstration ;
- coach sportif partenaire de Power Partners ;
- participant à un événement ponctuel organisé par Power Partners ;
- ou toute personne dont les données sont traitées dans le cadre de l'administration interne de la plateforme.
1.1 Visiteurs du site powerpartners.fr
Quand vous naviguez sur powerpartners.fr, certaines données techniques peuvent être collectées pour mesurer l'audience du site et améliorer notre contenu.
Données collectées :
- Données techniques : adresse IP, type d'appareil, système d'exploitation, navigateur, résolution d'écran.
- Données de navigation : pages visitées, temps passé, parcours, source de trafic.
- Identifiant cookie Google Analytics, uniquement si vous y consentez.
- Source IA d'arrivée le cas échéant (ChatGPT, Perplexity, Gemini, Copilot, Claude.ai, You.com, Phind, Kagi).
- Vos préférences de consentement cookies.
Finalités : mesure d'audience, identification des contenus pertinents, optimisation de la navigation.
Base légale : votre consentement, recueilli via le bandeau cookies à votre première visite. Vous pouvez modifier votre choix à tout moment via le lien « Gérer mes cookies » en pied de page.
Destinataires : l'équipe Power Partners habilitée, pour consultation des statistiques ; Google LLC (USA), prestataire Google Analytics et Google Tag Manager.
Transfert hors UE : oui. Google LLC (USA) est certifié au Data Privacy Framework UE-USA, et les Clauses Contractuelles Types s'appliquent. Aucun cookie analytique n'est déposé et aucune donnée n'est transmise à Google tant que vous n'avez pas consenti.
Durée de conservation : 13 mois pour les cookies analytiques (recommandation CNIL) ; 14 mois pour les données agrégées Google Analytics.
Pour le détail des cookies utilisés et l'exercice de vos choix, voir la Partie 3.1.
1.2 Formulaire de contact et demande de démonstration
Si vous remplissez le formulaire de contact ou de demande de démonstration, vos données sont traitées pour répondre à votre demande commerciale.
Données collectées :
- Champs obligatoires : nom et prénom, email professionnel, entreprise, message libre.
- Champ optionnel : téléphone professionnel.
- Données techniques : horodatage de la soumission, adresse IP (anti-spam, limitation du nombre de soumissions).
- Données commerciales : estimation de budget, nombre de collaborateurs, options choisies, prix calculé par le simulateur.
Finalités : répondre à votre demande de contact, de démonstration ou de devis, vous proposer une offre adaptée, suivre la relation commerciale jusqu'à sa conclusion.
Base légale : exécution de mesures précontractuelles prises à votre demande (Art. 6.1.b RGPD), le formulaire ayant pour objet d'établir une relation commerciale. La case à cocher du formulaire ne constitue pas un consentement : elle atteste que vous avez été informé.
Destinataires : Johan Galzy (Président), qui reçoit votre demande par email ; l'équipe commerciale habilitée, le cas échéant.
Transfert hors UE : oui, uniquement pour la réception finale de l'email. Google LLC (USA), opérateur de Google Workspace, est certifié au Data Privacy Framework UE-USA. La Cloud Function et Mailgun traitent vos données exclusivement en région UE.
Durées de conservation :
- Boîte mail professionnelle : 3 ans après notre dernier contact (recommandation CNIL en prospection B2B).
- Logs Mailgun : 30 jours. Logs Cloud Function : 30 jours.
- Si vous devenez client : durée de la relation contractuelle, augmentée de 5 ans après la fin du contrat (prescription commerciale).
1.3 Coachs sportifs partenaires
Power Partners contracte directement avec des coachs sportifs partenaires qui interviennent dans les cours en entreprise et les sessions vidéo de la plateforme.
Données collectées : identité (nom, prénom, email, téléphone, photo de profil) ; spécialités sportives, certifications, diplômes ; type d'intervention ; calendrier et historique des sessions animées ; messages échangés dans les chats des cours (archivage automatique 24h après le cours) ; données de paiement et de facturation le cas échéant.
Finalités : gérer le contrat de prestation entre Power Partners et le coach, permettre aux collaborateurs d'identifier et de réserver des cours, suivre les interventions.
Base légale : exécution du contrat de prestation de services (Art. 6.1.b RGPD). Pour les données rendues visibles aux collaborateurs (nom, photo, spécialités) : intérêt légitime du coach et de Power Partners à faire connaître l'offre (Art. 6.1.f).
Destinataires : le coach lui-même, les collaborateurs inscrits à ses cours (nom, photo, spécialités), les administrateurs habilités de Power Partners.
Hébergement : Firebase europe-west3 (Francfort, Allemagne). Pas de transfert hors UE.
Conservation : durée de la relation contractuelle, puis archivage après désactivation du compte coach.
1.4 Administration interne de la plateforme
Power Partners traite également des données pour ses besoins internes : gestion des entreprises clientes, traitement des demandes RGPD, certificats de destruction, audit des opérations sensibles.
Données collectées : demandes RGPD (demandeur, type, statut, dates) ; certificats de destruction en fin de contrat client ; logs d'envoi des rapports commerciaux ; jobs d'invitations en masse ; logs des emails non délivrés.
Personnes concernées : administrateurs des entreprises clientes, administrateurs Power Partners.
Base légale : exécution du contrat (Art. 6.1.b) pour la gestion ordinaire ; obligation légale (Art. 6.1.c) pour les demandes RGPD et les certificats de destruction, notamment au titre des articles 33 et 34 RGPD.
Conservation : demandes RGPD : 5 ans (preuve de conformité). Certificats de destruction : 5 ans. Logs commerciaux : 24 mois.
1.5 Inscriptions aux événements ponctuels (sans compte)
Cette section vous concerne uniquement si vous vous inscrivez à un événement ponctuel organisé par Power Partners (olympiades, team building, journée sportive) via un lien ou un QR code, sans créer de compte ni installer l'application. Dans ce cas, la Partie 2 ne s'applique pas à vous.
Power Partners organise, pour le compte d'entreprises, des prestations événementielles ponctuelles. Les collaborateurs concernés s'inscrivent de leur propre initiative via une page web publique. Aucun compte, aucune installation et aucune donnée de santé ne sont nécessaires.
Données collectées :
- Prénom, nom et adresse email, nécessaires à votre inscription, à votre confirmation et à votre rappel.
- Vos choix d'inscription : créneau, atelier ou équipe, selon le format de l'événement.
- Le rattachement à votre entreprise, déduit automatiquement du code contenu dans le lien. Aucun champ « entreprise » ne vous est demandé.
- Votre adresse IP sous forme hachée, jamais conservée en clair, uniquement pour limiter les abus du formulaire.
Important : aucune donnée de santé n'est collectée sur ce parcours et aucun paiement ne vous est demandé. L'inscription est gratuite pour vous, la prestation étant réglée par votre entreprise.
Base légale : intérêt légitime de Power Partners (Art. 6.1.f RGPD) à organiser la prestation commandée par votre entreprise, en l'absence de relation contractuelle directe entre vous et Power Partners.
Finalités : enregistrer et gérer votre inscription (capacité, créneaux, ateliers, équipes, liste d'attente) ; vous adresser les emails liés à l'événement (confirmation, rappel la veille, remerciement le lendemain) ; vous permettre de modifier ou d'annuler votre inscription via un lien personnel ; établir la liste de présence remise au coach qui encadre l'événement.
Aucune de vos données n'est utilisée à des fins de prospection ou de marketing.
Qui reçoit vos données :
| Destinataire | Données reçues | Localisation |
|---|---|---|
| Power Partners | Inscription complète, pour la gestion de l'événement | Union Européenne |
| Coach assigné | Liste de présence (prénom et nom) de ses créneaux et ateliers uniquement, sans email ni nom d'entreprise | Union Européenne |
| Votre entreprise | Liste de présence, seulement si elle en fait la demande (export transmis manuellement). Aucun accès direct au système, aucune transmission automatique | Union Européenne |
| Google Cloud (Firebase) | Hébergement et exécution technique | Union Européenne (Francfort) |
| Mailgun (Sinch) | Envoi des emails de l'événement | Union Européenne |
| Sentry et Cloudflare | Détection d'erreurs techniques et diffusion sécurisée de la page. Ne reçoivent pas vos données d'inscription en clair | États-Unis (DPF et SCC) |
Votre employeur : vos données ne lui sont jamais transmises automatiquement. La liste de présence ne lui est communiquée que s'il en fait la demande, et se limite au nom des participants. Les autres participants n'ont jamais accès à votre inscription.
Transferts hors UE : vos données d'inscription (prénom, nom, email) sont hébergées et traitées dans l'Union Européenne. Sentry et Cloudflare, situés aux États-Unis, interviennent en périphérie et ne reçoivent pas vos données d'inscription en clair. Ces transferts sont encadrés par le Data Privacy Framework UE-USA et les Clauses Contractuelles Types.
Conservation : vos données d'inscription sont supprimées automatiquement au plus tard 30 jours après la fin de l'événement. L'adresse IP hachée n'est conservée que sur une fenêtre glissante de quelques minutes.
Vos droits sur ce parcours :
- Modifier vos choix ou vous désinscrire : immédiatement, via le lien personnel présent dans votre email de confirmation. La désinscription vaut effacement et opposition.
- Toute autre demande : johan@powerpartners.fr, réponse sous 1 mois maximum.
Le droit à la portabilité ne s'applique pas à ce traitement, qui repose sur l'intérêt légitime et non sur le consentement ou un contrat.
Partie 2 : Power Partners sous-traitant
Cette partie s'applique exclusivement aux salariés et collaborateurs des entreprises ayant souscrit aux services Power Partners. Si vous utilisez l'application (iOS, Android ou Web) parce que votre entreprise a souscrit ce service, les traitements de vos données sont effectués par Power Partners, sous-traitant, pour le compte de votre entreprise, responsable de traitement.
2.1 Le rôle de chacun
Votre employeur décide
Il détermine les finalités : quels modules sont activés, pour quels collaborateurs, dans quel but. C'est lui le responsable de traitement.
Il lui revient d'accomplir ses propres formalités : information de son CSE, mise à jour de son registre, information de ses salariés.
Power Partners exécute
Nous traitons vos données sur ses instructions documentées, dans le cadre d'un accord de traitement (DPA) conforme à l'article 28 RGPD.
Nous ne réutilisons jamais vos données pour nos propres finalités, et nous ne les vendons ni ne les échangeons.
2.2 Pourquoi votre employeur a souscrit Power Partners
Votre employeur a souscrit dans le cadre d'une politique de qualité de vie et conditions de travail (QVCT), de prévention des risques psychosociaux, ou d'une démarche en faveur du sport et du bien-être en entreprise.
Pour connaître les finalités précises retenues par votre employeur, ses durées de conservation et l'identité de son DPO, référez-vous à sa politique interne (registre des traitements, note d'information collaborateurs).
2.3 Les traitements opérés pour votre compte
Selon les modules souscrits par votre entreprise, Power Partners opère les traitements ci-dessous. Les sous-traitants ultérieurs, les transferts hors UE et les mesures de sécurité sont détaillés en Parties 2.4, 2.5 et 3.2.
| Finalité | Données traitées | Base légale | Conservation |
|---|---|---|---|
| Gestion de votre compte | Nom, prénom, email pro, photo (optionnelle), genre (optionnel), entreprise, département, rôle applicatif, identifiants de connexion, tokens push, codes MFA hachés. | Exécution du contrat entre votre entreprise et Power Partners | Durée d'utilisation + 5 ans après inactivité |
| Suivi bien-être et santé (optionnel) | Objectifs, poids, photos optionnelles, sommeil, stress, hydratation, activité (pas, calories, fréquence cardiaque, via Apple Health ou Google Fit si vous l'activez), blessures, notes libres. Catégorie particulière, données de santé (Art. 9). | Consentement explicite (Art. 9.2.a) | 24 mois après dernière activité, puis purge automatique |
| Coach IA | Vos messages échangés avec le Coach. Si vous activez la personnalisation : un contexte de bien-être simplifié (prénom uniquement, ni nom ni email). Chiffrement AES-256-GCM, clé dérivée par utilisateur (PBKDF2). | Messages : exécution du contrat (Art. 6.1.b). Personnalisation à partir de vos données de bien-être : consentement explicite (Art. 9.2.a) | 90 jours puis purge automatique |
| Gamification et engagement | XP, niveau, achievements, duels 1v1, challenges collectifs, quêtes hebdomadaires, kudos, streak, avatar, favoris et statistiques par discipline. | Exécution du contrat | Durée de la relation ; anonymisation des duels si vous supprimez votre compte |
| Réservation et paiement des cours | Réservations effectuées, paiements (Stripe, tokenisés ; Power Partners ne stocke jamais le numéro complet de carte ni le CVV), feedback anonyme post-cours. | Exécution du contrat. Obligation légale comptable pour les pièces de facturation | Durée contractuelle pour les réservations ; 10 ans pour les pièces comptables |
| Analytics RH (si souscrit) | Statistiques agrégées par département (k-anonymat K=10) : score de burnout agrégé, score d'attrition agrégé, métriques d'entreprise, eNPS agrégé. Aucune donnée individuelle n'est jamais transmise à l'entreprise. | Intérêt légitime du responsable de traitement pour le pilotage de la politique QVT | Durée du contrat + 24 mois |
| Pulse surveys (si activé) | Réponses pseudonymisées avec seuil K=10 ; aucun identifiant utilisateur ; seul le département est associé à la réponse, et uniquement si le seuil de 10 personnes est atteint. | Intérêt légitime | 36 mois |
| Notifications push et emails | Tokens FCM, adresse email (envoi via Mailgun, région UE), prénom (personnalisation), vos préférences de rappels et de notifications (sous-collection privée visible par vous seul). | Exécution du contrat | Durée de la relation ; logs Mailgun 30 jours |
| Sécurité de l'application | Logs d'erreurs (Sentry, USA, sans donnée de santé), tentatives de connexion (hash email et hash IP, anti-brute force), audits de sécurité et audits RGPD. | Intérêt légitime | Sentry : 90 jours. Autres logs : 24h à 5 ans selon nature |
| Sessions de groupe en casting TV | Hôte (si vous lancez la session), liste des participants (nom, avatar, identifiant), workout sélectionné. | Exécution du contrat | Données éphémères, supprimées à la fin de la session |
| Abonnement avec participation financière | Identifiants client et abonnement Stripe, token de carte, adresse de facturation, historique et statut des paiements, événements d'abonnement, adresse IP de souscription. | Exécution du contrat. Obligation légale (Art. 6.1.c) pour les factures. Intérêt légitime pour la prévention de la fraude | 10 ans pour les pièces comptables ; voir le détail ci-dessous |
| Rattachement à un immeuble | Rattachement de votre entreprise à l'immeuble, statistiques agrégées d'engagement à l'échelle de l'immeuble (K=10 strict), preuve de prise de connaissance de la notice d'information. | Exécution du contrat. Intérêt légitime (Art. 6.1.f) pour la transmission au bailleur | Journaux d'accès du bailleur : 13 mois. Preuve de prise de connaissance : 6 ans |
Précisions complémentaires
Sur le suivi bien-être et santé
Ces données sont qualifiées de données de santé au sens de l'article 9 RGPD. Power Partners n'est pas un établissement de santé et ne fournit ni diagnostic ni avis médical.
Le consentement explicite est recueilli via les écrans de l'application avant toute saisie. Vous pouvez le retirer à tout moment en cessant de renseigner ces données ou en supprimant votre compte.
Sur le Coach IA
Le Coach IA est utilisable en mode général, sans partager votre profil de bien-être. Dans ce cas, seuls les messages que vous envoyez sont traités, afin de vous fournir le service demandé (Art. 6.1.b).
Pour que le Coach IA personnalise ses conseils à partir de vos données de bien-être, votre consentement explicite est recueilli (Art. 9.2.a) via une fenêtre dédiée, qui mentionne clairement le transfert vers Anthropic (USA). Sans ce consentement, aucune donnée de profil n'est transmise. Vous pouvez retirer ce consentement à tout moment : le Coach IA reste utilisable en mode général.
Anthropic (USA), opérateur de l'API Claude, ne stocke pas les données envoyées via l'API et s'engage contractuellement à ne pas s'en servir pour entraîner ses modèles. Vous pouvez désactiver le Coach IA à tout moment dans les paramètres : vos conversations existantes sont purgées après 90 jours, ou immédiatement si vous supprimez votre compte.
Sur les analytics RH et les pulse surveys
La méthode du k-anonymat est appliquée avec un seuil K=10. Si un département compte moins de 10 personnes, aucune statistique n'est affichée pour ce département : les données sont fusionnées avec un département plus large, ou indisponibles.
Aucune donnée individuelle (nom, email, identifiant) n'est jamais transmise à votre entreprise.
Le seuil K=10 est conçu pour minimiser fortement le risque de ré-identification. Ces réponses restent des données pseudonymisées, et demeurent soumises au RGPD.
Sur l'abonnement avec participation financière
Si votre entreprise a opté pour le mode « participation financière collaborateur », vous souscrivez un abonnement mensuel individuel via Stripe. Si elle a opté pour la facturation entreprise, vous n'avez aucun paiement à effectuer et aucune donnée de carte bancaire n'est collectée : cette section ne vous concerne pas.
Ce qui est collecté : email et nom (déjà au compte) réutilisés pour la facture ; adresse de facturation complète, saisie lors du paiement ; token de carte bancaire (jamais le numéro complet ni le CVV) ; adresse IP au moment de la souscription (prévention de la fraude) ; montant prélevé, TVA appliquée, date de la transaction.
TVA et facturation : Stripe Tax applique automatiquement la TVA française applicable sur le montant hors taxes. La facture est émise conformément à l'article 289 du Code Général des Impôts et conservée 10 ans (Art. L.123-22 Code de commerce). Sur ce volet, Power Partners agit au titre de ses obligations comptables propres.
Conservation : token de carte jusqu'à révocation via le portail Stripe ; adresse de facturation et historique des paiements : 10 ans (obligation comptable) ; événements d'abonnement : 3 ans après le dernier événement ; adresse IP de souscription : 13 mois.
Si vous supprimez votre compte : vos données personnelles (email, nom) sont remplacées par un identifiant pseudonyme dans les enregistrements de paiement. Les montants et dates sont conservés 10 ans pour respecter l'obligation comptable.
Droit de rétractation : au moment de la souscription, vous renoncez explicitement (case à cocher) au droit de rétractation de 14 jours, car l'exécution du service commence immédiatement (Art. L.221-28 Code de la consommation). Vous pouvez résilier à tout moment, l'arrêt prenant effet en fin de période mensuelle payée.
Aucune donnée de santé ni de gamification n'est jamais transmise à Stripe. Stripe ne reçoit que les données strictement nécessaires au paiement.
Sur le rattachement de votre entreprise à un immeuble
Si votre entreprise est locataire d'un immeuble équipé Power Partners, l'accès au service est financé par le bailleur de l'immeuble. Ce rattachement entraîne les spécificités suivantes.
Un nouveau destinataire, le bailleur : il est destinataire (Art. 4.9 RGPD) de statistiques agrégées sur l'engagement global de l'immeuble, uniquement si votre entreprise a souscrit l'option analytics RH immeuble. Le bailleur n'est pas responsable de vos données.
Ce que le bailleur ne voit jamais : aucune donnée nominative, aucune donnée de santé, aucune conversation Coach IA, aucun détail entreprise par entreprise, aucune réponse aux pulse surveys. Seuil de k-anonymat K=10 strict : aucune statistique portant sur moins de 10 personnes n'est restituée.
Information et preuves : une notice d'information (Art. 14 RGPD) vous est présentée au premier accès suivant le rattachement. La preuve de votre prise de connaissance, ainsi que l'attestation d'information de votre CSE, sont incluses dans votre export du droit d'accès.
Vos droits : vous pouvez vous opposer à tout moment à votre apparition dans les classements entre entreprises de l'immeuble, sans conséquence sur votre accès au service.
2.4 Sous-traitants ultérieurs
Le responsable du traitement a autorisé Power Partners à recourir aux sous-traitants ultérieurs suivants :
| Sous-traitant | Service rendu | Localisation | Garanties |
|---|---|---|---|
| Google Cloud (Firebase) | Hébergement, authentification, base de données, stockage, notifications push | UE (Francfort, europe-west3) | DPA inclus, ISO 27001, SOC 2, DPF et SCC |
| Anthropic (Claude API) | Coach IA | États-Unis | DPA signé, SCC, DPF, non-stockage et non-entraînement contractuels |
| Stripe (Stripe Payments Europe Ltd) | Paiements, tokenisation des cartes, prévention de la fraude | Irlande, infrastructure USA (traitement principal en UE) | DPA signé, SCC, DPF, PCI-DSS Niveau 1 |
| Sentry (Functional Software Inc.) | Monitoring et détection des erreurs techniques | États-Unis | DPA signé, SCC, DPF |
| Mailgun (Sinch) | Envoi d'emails transactionnels | Union Européenne | DPA signé, ISO 27001 |
| Cloudflare (Stream) | CDN, streaming vidéo des workouts, diffusion des pages web publiques dont les pages d'inscription aux événements | CDN mondial (USA et UE) | DPA signé, SCC, DPF |
Toute modification de cette liste fait l'objet d'une information préalable du responsable du traitement, qui dispose d'un droit d'objection conformément au DPA.
2.5 Transferts hors Union Européenne
Certains sous-traitants ultérieurs sont établis en dehors de l'Union européenne, principalement aux États-Unis. Ces transferts sont encadrés par les mécanismes du Chapitre V du RGPD :
- Data Privacy Framework UE-USA : décision d'adéquation de la Commission européenne du 10 juillet 2023.
- Clauses Contractuelles Types de la Commission européenne (2021/914/UE), en cas d'invalidation du DPF.
- Mesures supplémentaires pour les transferts les plus sensibles : chiffrement, pseudonymisation, non-stockage.
Anthropic (Coach IA) : messages du Coach, et contexte de bien-être pseudonymisé (prénom uniquement) si vous avez activé la personnalisation. Garanties : DPA, SCC, DPF, engagement de non-stockage et de non-entraînement. Mesures supplémentaires : chiffrement AES-256-GCM avant envoi, clé spécifique à chaque utilisateur.
Stripe (paiements) : paiement tokenisé (jamais de numéro de carte complet), historique des transactions. Entité responsable : Stripe Payments Europe Ltd (Irlande), traitement principal en UE. Garanties : SCC, DPF, PCI-DSS Niveau 1.
Sentry (monitoring) : logs techniques uniquement, aucune donnée de santé. Garanties : SCC, DPA.
Cloudflare (CDN) : adresses IP en logs temporaires. Garanties : SCC, DPF, DPA.
Partie 3 : Dispositions communes
3.1 Politique cookies détaillée
Le site powerpartners.fr utilise les cookies suivants :
Strictement nécessaires
Toujours actifs, pas de consentement requis
- Cookies de session (maintien de votre navigation)
- Stockage de votre choix de consentement (clé « cookie-consent »)
Analytiques
Uniquement avec votre consentement
- Google Analytics 4 et Google Tag Manager
- Identifiants : _ga, _ga_*, _gid
- Durée : 13 mois maximum (recommandation CNIL)
Votre consentement
À votre première visite, un bandeau vous propose trois options : Refuser (aucun cookie analytique n'est déposé), Personnaliser (choix par catégorie), Accepter tout.
Ce bandeau suit les recommandations de la CNIL (délibération n° 2020-091 et recommandation n° 2020-092 du 17 septembre 2020) : refuser est aussi simple qu'accepter, aucun cookie analytique n'est déposé avant votre choix, et votre choix est enregistré avec un horodatage.
Vous pouvez modifier votre choix à tout moment via le lien « Gérer mes cookies » en pied de page.
L'application mobile n'utilise pas de cookies tiers analytiques. La mesure d'audience y est réalisée via Firebase et reste en région UE.
3.2 Mesures de sécurité techniques et organisationnelles
Chiffrement
- En transit : TLS 1.2 minimum, TLS 1.3 privilégié
- Au repos : AES-256 (Google Cloud KMS)
- Conversations Coach IA : AES-256-GCM, clé dérivée par utilisateur
Contrôle d'accès
- Authentification Firebase Auth (email ou Google SSO)
- Authentification multi-facteurs obligatoire pour les administrateurs
- Biométrie optionnelle (Face ID, Touch ID, empreinte)
- Règles Firestore granulaires par collection
- Isolation multi-tenant par identifiant entreprise
- Expiration de session après 1h pour les administrateurs
Pseudonymisation
- Analytics RH : k-anonymat K=10 (recommandation CNIL)
- Pulse surveys : seuil K=10, aucun identifiant utilisateur
- Logs : identifiants pseudonymisés (SHA-256, tronqués)
Sécurité applicative
- Limitation du nombre de requêtes (connexion, IA, invitations)
- Protection anti-injection sur le Coach IA
- Validation de la signature des webhooks Stripe
- CORS strict
- Secrets stockés dans Google Cloud Secret Manager
Hébergement
- Google Cloud (Firebase), région europe-west3 (Francfort)
- Certifications ISO 27001 et SOC 2 Type II
- Sauvegardes automatiques
- Site statique en HTTPS systématique, Cloud Function europe-west3, Mailgun région UE
Monitoring
- Sentry pour la détection d'erreurs, sans donnée de santé
- Audits RGPD pour la traçabilité des opérations sensibles
3.3 Vos droits
Vous bénéficiez des droits suivants sur l'ensemble des traitements décrits :
| Droit | Article RGPD | Description |
|---|---|---|
| Accès | Art. 15 | Obtenir copie de vos données |
| Rectification | Art. 16 | Corriger les données inexactes |
| Effacement | Art. 17 | Supprimer vos données |
| Limitation | Art. 18 | Restreindre le traitement |
| Portabilité | Art. 20 | Récupérer vos données dans un format structuré (JSON) |
| Opposition | Art. 21 | Vous opposer à certains traitements |
| Retrait du consentement | Art. 7 | Retirer votre consentement à tout moment, sans effet rétroactif |
À qui vous adresser
Pour les traitements de la Partie 1
Visiteurs, prospects, coachs, participants aux événements, administration interne. Power Partners est responsable de traitement : adressez votre demande directement à Power Partners (coordonnées en Partie 3.6).
Pour les traitements de la Partie 2
Le responsable de traitement est votre entreprise. Power Partners agit comme sous-traitant et peut vous assister directement, conformément à l'Art. 28.3.e RGPD et au DPA conclu avec votre entreprise.
Auprès de votre entreprise : vous pouvez adresser vos demandes au DPO ou au référent RGPD de votre entreprise, responsable de traitement pour ces traitements.
Directement dans l'application, avec effet immédiat :
- Accès et portabilité : Paramètres → « Exporter mes données (RGPD) » (export JSON complet)
- Effacement : Paramètres → « Supprimer mon compte » (suppression sous 24 heures, avec génération d'un certificat)
- Rectification : Mon Espace → Modifier le profil
- Retrait du consentement Coach IA : Chat → Réglages → Désactiver le Coach IA
- Gestion des paiements : Paramètres → Abonnement (portail sécurisé Stripe)
- Préférences de notifications : Paramètres → Notifications
Délai de réponse : dans l'application, effet immédiat (export ou suppression réalisés sous 24h). Par email ou courrier : 1 mois maximum (Art. 12.3 RGPD), pouvant être prolongé de 2 mois en cas de demande complexe, avec information motivée.
3.4 Modifications de cette politique
Power Partners peut modifier cette politique, notamment pour refléter une évolution légale ou réglementaire, l'ajout d'un service ou d'un sous-traitant, ou la modification d'une finalité. En cas de modification substantielle, vous êtes informé :
- par notification dans l'application, pour les utilisateurs de l'app ;
- par email à l'adresse associée à votre compte ou à votre fiche contact ;
- par mention en évidence sur le site powerpartners.fr.
La date de dernière mise à jour figure en haut de cette page.
3.5 Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés (CNIL)
3 Place de Fontenoy, TSA 80715
75334 Paris Cedex 07, France
Site web : www.cnil.fr/fr/plaintes
Téléphone : 01 53 73 22 22
Pour les traitements de la Partie 2, vous pouvez également saisir directement le DPO ou le référent RGPD de votre entreprise.
3.6 Coordonnées et contact
Power Partners
14 rue de la Mairie
92320 Châtillon, France
Email : johan@powerpartners.fr
Déléguée à la Protection des Données
Me Mina Baran, Avocate à la Cour
27, rue La Boétie
75008 Paris, France
Email : mb@baran-avocat.com
La DPO est joignable pour toute question relative au traitement de vos données, à l'exercice de vos droits ou au signalement d'un incident.
Pour les traitements pour lesquels Power Partners est sous-traitant (Partie 2), le DPO de votre entreprise est également votre interlocuteur. Ses coordonnées vous sont communiquées directement par votre entreprise.