Version 2026-08 — applicable depuis le 2 août 2026.
1. Responsable du traitement
Contact données personnelles : support@bodyrelay.com.
2. Données traitées et caractère obligatoire
- Compte : adresse e-mail, mot de passe haché, nom d’affichage et préférences.
- Conformité : versions et horodatages d’acceptation des CGU et de la politique, consentement de synchronisation et retrait.
- Fournisseurs : identifiants techniques, états de connexion et jetons chiffrés.
- Mesures choisies : poids, composition corporelle et autres valeurs rendues disponibles par Withings et compatibles avec Garmin.
- Exploitation : état et historique technique des synchronisations, e-mails transactionnels, adresse IP, session, journaux de sécurité et échanges de support.
Les données signalées comme nécessaires à la création du compte et à la fourniture du service sont obligatoires ; sans elles, BodyRelay ne peut pas ouvrir le compte ou réaliser la synchronisation. Le nom d’affichage et les communications facultatives restent optionnels.
3. Finalités, bases légales et données sensibles
- Créer et sécuriser le compte, exécuter les synchronisations demandées et fournir le support : exécution du contrat.
- Lire, mettre en file puis transmettre les mesures corporelles susceptibles de constituer des données de santé : consentement explicite au titre de l’article 9 du RGPD, révocable à tout moment.
- Prévenir les abus, maintenir la sécurité, diagnostiquer les incidents et établir des statistiques techniques agrégées : intérêt légitime de BodyRelay, sous réserve des droits et libertés des utilisateurs.
- Conserver les éléments imposés par un texte ou répondre à une autorité compétente : obligation légale applicable.
- Envoyer des communications non indispensables lorsqu’elles sont proposées : consentement spécifique.
BodyRelay n’effectue ni profilage, ni décision produisant un effet juridique ou similaire fondée exclusivement sur un traitement automatisé.
4. Sources, destinataires et rôles
Les données proviennent de l’utilisateur, de Withings et de Garmin. Elles sont accessibles aux seules personnes habilitées de BodyRelay et, dans la limite nécessaire, aux prestataires d’hébergement, d’e-mail, de sauvegarde et de supervision contractuellement encadrés. Les mesures sélectionnées sont transmises à Garmin sur instruction de l’utilisateur. Withings et Garmin traitent aussi des données pour leurs propres services selon leurs politiques respectives. Les données ne sont ni vendues, ni louées, ni utilisées pour de la publicité.
5. Durées de conservation
- Mesures en transit : jusqu’à 30 jours avant traitement, puis 7 jours après une transmission réussie.
- Sessions et jetons d’e-mail : suppression dès expiration ; au plus tard 7 jours après révocation ou consommation.
- États OAuth : suppression dès expiration ; au plus tard 1 jour après consommation.
- Données du compte et connexions : pendant la durée du compte, puis suppression des données actives à la demande.
- Journaux de sécurité : durée strictement nécessaire à la sécurité et à la preuve, au maximum 12 mois sauf incident ou obligation légale.
- Sauvegardes chiffrées : rotation de 7 sauvegardes quotidiennes, 4 hebdomadaires et 6 mensuelles.
6. Suppression et sauvegardes
La suppression du compte retire immédiatement les données actives et révoque les connexions dans la mesure techniquement disponible. Les copies résiduelles disparaissent selon la rotation des sauvegardes ; elles ne sont pas remises en production hors restauration après incident. Un registre externe des demandes d’effacement permet de réappliquer ces suppressions après une restauration.
7. Sécurité, hébergement en France et transferts
Les données hébergées par BodyRelay et les traitements techniques placés sous son contrôle direct sont réalisés sur le territoire français, sur une infrastructure fournie par OVH SAS, hébergeur français dont les centres de données utilisés par BodyRelay sont situés en France. Les communications sont chiffrées en transit, les mots de passe sont hachés et les jetons fournisseurs sont chiffrés au repos. Les accès sont limités et les journaux applicatifs excluent les mesures.
Lorsque l’utilisateur connecte son compte Withings ou Garmin, les données nécessaires à la synchronisation sont également transmises au fournisseur concerné. Ces services tiers traitent les données selon leurs propres politiques et peuvent effectuer certains traitements hors de France ou de l’Espace économique européen. BodyRelay documente les acteurs, régions, pays et garanties applicables, par exemple une décision d’adéquation ou des clauses contractuelles types.
8. Vos droits
Vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition et la portabilité de vos données, ainsi que retirer votre consentement sans effet rétroactif. Utilisez l’export et la suppression depuis votre compte ou écrivez à support@bodyrelay.com. Une réponse est apportée en principe sous un mois, sous réserve des prolongations et vérifications d’identité prévues par la réglementation. Vous pouvez également définir des directives relatives au sort de vos données après votre décès et saisir la CNIL si vous estimez que vos droits ne sont pas respectés.
9. Mineurs
Le service est réservé aux personnes majeures. BodyRelay ne cherche pas à collecter sciemment les données d’un mineur ; tout signalement peut être adressé au contact données personnelles.
10. Cookies
BodyRelay utilise uniquement des cookies techniques de session et de protection CSRF, strictement nécessaires à l’authentification et à la sécurité du service demandé. Aucun cookie publicitaire ou de mesure d’audience n’est actuellement déposé. Si cette situation change, l’information et, lorsque requis, le consentement seront mis en place avant le dépôt.
11. Mise à jour
La version applicable et sa date sont affichées sur cette page. Une nouvelle acceptation est demandée en cas de modification substantielle.