Règles de confidentialité

Appli Mon Créneau, éditée par Krok Studio. Mise à jour : 7 octobre 2026.

Mon Créneau est une appli de réservation et de planning pour un coach sportif indépendant et ses clients. Elle est en cours de développement et n'est utilisée que sur invitation. Ces règles disent quelles données l'appli utilise, pour quoi faire, où elles sont gardées, combien de temps, et comment exercer vos droits. La partie 8 détaille ce que l'appli fait des données d'un compte Google, quand un coach relie son Google Agenda.

1. Qui est responsable de vos données

Mon Créneau est éditée par Krok Studio (voir les mentions légales). Les responsabilités se partagent ainsi :

• Données des clients d'un coach (réservations, séances, paiements, factures) : chaque coach est responsable de l'utilisation des données de ses clients, et une association l'est pour ses membres. Krok Studio fournit l'appli et héberge ces données pour leur compte, selon leurs instructions : au sens du RGPD, Krok Studio est leur sous-traitant.
• Comptes des coachs : Krok Studio est responsable de l'utilisation de ces données.
• Ce site (pages d'information de l'appli) : Krok Studio est responsable des journaux techniques que garde son hébergeur, Cloudflare.
• Paiements en ligne : Stripe, qui les gère, utilise les données de paiement selon ses propres règles de confidentialité.

Chaque espace de coach aura sa propre politique de confidentialité, fournie dans l'appli : elle nomme le responsable, et précise les finalités, les fondements et les durées propres à cet espace.

2. Les personnes concernées

• Les coachs qui utilisent l'appli pour leur activité.
• Leurs clients, qu'ils aient un compte ou seulement une fiche créée par le coach.
• Les personnes qui réservent un bilan gratuit, ou paient une séance par un lien, sans créer de compte.

Un compte correspond à une seule personne, majeure ; le compte d'un mineur est celui de son parent.

3. Les données utilisées et pourquoi

• Identité et coordonnées : prénom, nom, adresse e-mail, téléphone ; adresse postale si vous la donnez, pour les factures (vous pouvez refuser qu'elle y figure).
• Connexion : adresse e-mail et code de connexion à usage unique, ou mot de passe si vous en choisissez un.
• Séances : réservations, annulations, présences, liste d'attente, séances qui vous restent.
• Achats : offres achetées, paiements, factures et avoirs, acceptation des conditions générales de vente, demandes de rétractation ou de résiliation.
• Bilan gratuit : deux choix facultatifs dans des listes fermées (votre objectif, votre pratique actuelle). Les clients n'ont aucun champ de texte libre.
• Note privée du coach : le seul texte libre de l'appli, écrit par le coach et visible de lui seul ; elle vous est communiquée si vous demandez l'accès à vos données.
• Notifications : identifiant de votre appareil pour les notifications sur téléphone, et vos préférences.
• Données techniques : journaux techniques du serveur ; adresse IP, utilisée pour limiter le nombre de demandes et les abus.
• Journal des actions : qui a fait quoi et quand (réservations, paiements, séances, modifications d'une fiche), sans vos coordonnées en clair.
• Pour un coach : coordonnées de son espace, identité de son entreprise ou de son association pour les factures, et, s'il le choisit, la connexion à son Google Agenda (partie 8).

Ces données servent à réserver et gérer les séances, à envoyer les confirmations, rappels et avis, à encaisser les paiements et à établir les factures, à tenir les registres comptables imposés par la loi et à protéger le service. L'appli n'affiche aucune publicité, ne vend aucune donnée et n'utilise aucun outil de mesure d'audience.

Bases légales

Pour les données des clients d'un coach, la base légale de chaque usage figure dans la politique de l'espace du coach (partie 1). Pour les autres usages, voici leur base légale, prévue par l'article 6 du RGPD :

• Compte du coach (création, connexion, gestion de son espace, assistance à sa demande écrite) : cette utilisation est nécessaire à l'exécution du contrat d'utilisation de l'appli conclu avec le coach (article 6, paragraphe 1, point b).
• Connexion à Google Agenda (lecture de son agenda, écriture de ses séances, lien Google Meet) : elle n'a lieu qu'à la demande du coach, pour lui fournir une fonction facultative qu'il active lui-même ; sa base légale est l'exécution de ce même contrat (article 6, paragraphe 1, point b). Le coach peut retirer cet accès à tout moment (partie 8.8).
• Protection du service (adresses IP utilisées pour limiter les abus, journaux techniques dont Krok Studio est responsable, journaux de ce site chez Cloudflare) : intérêt légitime de Krok Studio à sécuriser l'appli et ce site, et à protéger leurs utilisateurs contre les abus et les attaques (article 6, paragraphe 1, point f). Vous pouvez vous opposer à cette utilisation en écrivant à contact@krok-studio.com.

4. Où sont les données, et qui les reçoit

La base de données et les fichiers de l'appli sont hébergés par Supabase, à Paris. L'appli s'appuie sur ces services, chacun pour une tâche précise :

• Supabase (Supabase Pte. Ltd., établie à Singapour) : base de données et fichiers de l'appli, hébergés à Paris (Union européenne). L'accès que Supabase peut avoir à ces données depuis l'extérieur de l'Union est encadré par les clauses contractuelles types de la Commission européenne, comprises dans son contrat de sous-traitance.
• Brevo : envoi des e-mails (adresse et contenu de l'e-mail), dans l'Union européenne.
• Google Firebase Cloud Messaging : envoi des notifications sur téléphone (identifiant de l'appareil et texte de la notification, volontairement neutre). Ce service peut transférer ces données aux États-Unis, dans le cadre de protection des données entre l'Union européenne et les États-Unis.
• Cloudflare (Cloudflare, Inc., établie aux États-Unis) : hébergement des pages web de l'appli et de ce site, journaux techniques, dont l'adresse IP des visiteurs. Ces données peuvent être envoyées aux États-Unis, dans le cadre de protection des données entre l'Union européenne et les États-Unis, auquel Cloudflare adhère ; les clauses contractuelles types de la Commission européenne prennent le relais si ce cadre cessait de s'appliquer.
• Stripe : paiements en ligne, versés sur le compte du coach ou de l'association.
• Google Agenda : seulement si le coach relie son agenda (partie 8). Les séances écrites dans son agenda (prénom et initiale du client, horaire, adresse de la salle) sont alors gardées par Google, selon ses propres règles, qui permettent un stockage hors de l'Union européenne.

Une copie de ces garanties peut être demandée à contact@krok-studio.com.

Les outils qui servent à développer l'appli ne reçoivent jamais de données réelles.

5. Combien de temps elles sont gardées

• Compte et fiche d'un client, y compris d'une personne venue seulement à un bilan : tant qu'ils servent. Après 24 mois sans activité chez le coach (connexion, réservation, achat ou paiement), ils sont anonymisés, avec un préavis par e-mail 30 jours avant quand une adresse est connue ; jamais tant qu'il vous reste des séances payées à utiliser. Les deux choix du bilan s'effacent avec la fiche.
• Compte d'un coach : tant qu'il existe ; après une demande de suppression, supprimé sous 30 jours ; ses factures, écritures et clôtures sont gardées 10 ans dans une archive à accès restreint.
• Factures, avoirs et registres comptables : 10 ans après la fin de l'année, comme la loi l'impose, dans une archive à accès restreint.
• Preuves d'acceptation des conditions générales de vente et déclarations de rétractation : 10 ans après la fin de l'année, pour prouver le contrat, dans la même archive.
• Note privée du coach : effacée quand vos données sont anonymisées.
• Contenu des notifications et des e-mails envoyés : 90 jours après l'envoi, et effacé dès la suppression du compte.
• Journal des actions : 10 ans pour ce qui touche aux paiements et aux séances achetées ou utilisées, 12 mois pour le reste ; jamais de coordonnées en clair.
• Adresses IP utilisées pour limiter les abus : 24 heures.
• Journaux techniques : 90 jours.
• Identifiant de l'appareil pour les notifications : jusqu'à la déconnexion de l'appareil.
• Copies de sauvegarde de la base : 7 jours, puis effacées.
• Données d'un compte Google relié : voir la partie 8.7.

Ces durées s'appliquent dans tous les espaces ; la politique de l'espace de votre coach les reprend.

6. Vos droits

Vous pouvez accéder à vos données, les corriger, les faire effacer, en limiter l'usage, vous opposer à certains usages et les recevoir dans un format courant. Dans l'appli, vous modifiez vos coordonnées dans votre profil, et vous supprimez votre compte à tout moment (client : Profil, « Supprimer mon compte » ; coach : Réglages, « Mon compte », « Supprimer mon compte », avec effet sous 30 jours) ; les factures restent gardées le temps imposé par la loi.

Vous pouvez aussi donner des directives sur la conservation, l'effacement et la communication de vos données après votre décès : par exemple, dire si elles peuvent être communiquées à une personne que vous choisissez, et désigner quelqu'un pour les faire appliquer. Pour les donner, les modifier ou les retirer à tout moment, écrivez à votre coach ou à contact@krok-studio.com. Sans directive de votre part, vos héritiers peuvent, après votre décès, obtenir les informations utiles au règlement de la succession et demander la clôture de votre compte ; les factures restent gardées le temps imposé par la loi.

Pour toute autre demande, adressez-vous à votre coach, responsable de vos données, ou écrivez à contact@krok-studio.com : nous transmettons votre demande à votre coach et l'aidons à y répondre, dans le délai d'un mois prévu par le RGPD. Vous pouvez aussi adresser une réclamation à la CNIL : www.cnil.fr/fr/adresser-une-plainte.

7. Sécurité

• Toutes les communications sont chiffrées (HTTPS).
• Chaque espace de coach est cloisonné dans la base : un coach ne voit jamais les données d'un autre espace, et un client ne voit que ce qui le concerne (jamais le nom des autres inscrits).
• Les clés techniques et les secrets restent sur le serveur, jamais dans l'appli installée sur votre téléphone.
• Krok Studio n'a aucun écran pour parcourir les données des clients ; une intervention d'assistance n'a lieu qu'à la demande écrite du coach, et elle est tracée.
• En cas de violation de données, Krok Studio prévient sans délai le coach et l'association concernés.

8. Données de votre compte Google

Cette partie concerne seulement les coachs qui choisissent de relier leur Google Agenda à Mon Créneau, par le bouton « Connecter Google Agenda » des réglages. L'appli fonctionne entièrement sans Google Agenda. Les clients n'ont jamais à donner accès à un compte Google, et Mon Créneau ne propose pas de se connecter avec un compte Google : la connexion à l'appli se fait par e-mail.

8.1 Les accès demandés à Google

Google affiche trois autorisations, que vous pouvez décocher une à une ; l'appli vous dit alors ce qui ne fonctionnera pas.

https://www.googleapis.com/auth/calendar.events.owned

Voir, créer, modifier et supprimer les événements des agendas dont vous êtes propriétaire. Il sert à lire vos rendez-vous pour bloquer les créneaux, à écrire vos séances, à créer le lien Google Meet d'un bilan en visio et à être prévenu des changements.

https://www.googleapis.com/auth/calendar.app.created

Créer l'agenda séparé « Mon Créneau : séances », où l'appli écrit vos séances.

https://www.googleapis.com/auth/calendar.calendarlist.readonly

Voir la liste de vos agendas, en lecture seule : l'appli y repère votre agenda principal, son fuseau horaire et la disponibilité de Google Meet.

L'appli ne demande jamais l'accès complet à votre Google Agenda, et elle ne modifie jamais les partages de vos agendas.

8.2 Ce que l'appli lit et garde

L'appli lit les événements des agendas qu'elle suit : votre agenda principal, l'agenda « Mon Créneau : séances », et les autres agendas dont vous êtes propriétaire, si vous les cochez (avec leurs détails, ou seulement comme « occupé »). Elle demande à Google de la prévenir quand un événement change, et relit vos agendas toutes les 15 minutes, au cas où un avis se perdrait.

De chaque événement, elle ne garde que :

• l'agenda d'où il vient ; son identifiant et, pour un événement répété, celui de sa série et son horaire d'origine ; son statut (confirmé ou annulé) ; son début et sa fin (ou « journée entière ») ; s'il vous rend occupé ou disponible ; son type ; votre réponse s'il s'agit d'une invitation ; son numéro de version ; le cas échéant, la séance de l'appli à laquelle il correspond ;
• son titre, seulement pour un agenda suivi avec ses détails, et seulement s'il a lieu entre 7 jours avant et 120 jours après la date du jour. Vous pouvez choisir de ne pas afficher les titres de votre agenda principal.

Elle ne garde jamais la description, le lieu, les invités, les pièces jointes ni les liens de visio de vos événements.

De votre compte Google, elle garde aussi la référence du compte relié, les autorisations accordées, la liste des agendas suivis et leurs réglages, le fuseau horaire de votre agenda principal et la disponibilité de Google Meet, ainsi qu'un jeton de rafraîchissement (voir 8.5).

8.3 Ce que l'appli écrit dans votre agenda

• Elle crée dans votre compte l'agenda « Mon Créneau : séances ». Vous en êtes propriétaire ; il n'est partagé avec personne, sauf si vous le partagez vous-même.
• Pour chaque séance : un titre court (le type de séance, puis le prénom et l'initiale du nom du client, par exemple « Coaching : Julie M. », ou le nom du cours et le nombre d'inscrits), ou un titre sans nom si vous le choisissez ; l'horaire ; l'adresse de la salle ; un lien vers la séance dans l'appli. Ces événements sont privés et sans invité : Google n'envoie aucune invitation à vos clients. Jamais le téléphone ni l'adresse e-mail de vos clients.
• Pour un bilan gratuit en visio : un lien Google Meet, créé pour ce bilan seulement.
• Les événements personnels que vous ajoutez depuis l'appli sont écrits dans votre agenda principal.
• Si vous refusez la création de l'agenda séparé, l'appli peut, avec votre accord, écrire les séances dans votre agenda principal, toujours sans le nom de vos clients.

L'appli ne modifie jamais vos propres événements : elle met à jour ou supprime seulement les séances qu'elle a écrites. Si vous déplacez ou supprimez dans Google Agenda une séance qui a des inscrits, l'appli vous demande quoi faire avant de prévenir vos clients, au lieu d'appliquer le changement en silence. Une séance sans inscrit que vous supprimez dans Google Agenda est simplement annulée dans l'appli.

8.4 Pour quoi faire

Ces données servent uniquement à :

• bloquer les créneaux où vous êtes pris, pour qu'aucun client ne les réserve ;
• vous montrer votre agenda dans le planning de l'appli ;
• écrire vos séances dans votre agenda et les tenir à jour ;
• écrire dans votre agenda principal les événements personnels que vous ajoutez depuis l'appli ;
• créer le lien Google Meet d'un bilan en visio ;
• repérer les changements faits dans Google Agenda.

Vos clients ne voient jamais rien de vos événements Google, seulement qu'un créneau n'est pas libre. Les titres de vos événements ne figurent jamais dans une notification, un e-mail ou un journal technique.

8.5 Comment elles sont protégées

• Google remet à l'appli un jeton de rafraîchissement : une clé qui lui permet d'agir sur votre agenda sans vous redemander votre accord. C'est le seul jeton gardé. Il est rangé dans le coffre à secrets de la base (Supabase Vault). Seules les fonctions du serveur s'en servent, jamais l'appli installée sur un téléphone ou dans un navigateur, et les accès d'administration qui pourraient l'ouvrir sont protégés comme des secrets.
• Les jetons d'accès, valables environ une heure, ne sont jamais enregistrés. Aucun jeton n'apparaît dans les journaux.
• Les échanges avec Google sont chiffrés (HTTPS), et vous seul voyez, dans l'appli, les données de votre agenda.
• Personne chez Krok Studio ne consulte ces données, sauf à votre demande écrite (assistance), pour la sécurité du service, ou si la loi l'exige.

8.6 Avec qui elles sont partagées

Les données de votre Google Agenda ne sont ni vendues, ni louées, ni partagées. Elles ne servent à aucune publicité, et elles ne servent pas à entraîner un modèle d'intelligence artificielle. Elles sont stockées chez l'hébergeur de l'appli, Supabase, à Paris. Seule exception, puisque c'est à cela qu'il sert : le lien Google Meet d'un bilan en visio est communiqué à la personne qui a réservé ce bilan, dans l'appli et par un e-mail envoyé par Brevo. Elles ne seraient communiquées à quelqu'un d'autre que si la loi l'imposait.

8.7 Combien de temps elles sont gardées

• Jeton de rafraîchissement : tant que votre agenda est relié ; supprimé dès que vous le déconnectez.
• Titres des événements : effacés chaque nuit dès qu'un événement sort de la période de 7 jours avant à 120 jours après la date du jour.
• Événements : effacés 7 jours après leur fin, et tous dès que vous déconnectez votre agenda.
• Lien Google Meet d'un bilan : gardé avec la séance, pour la personne qui l'a réservée et pour vous.
• Référence du compte et liste des agendas suivis : elles ne servent plus après la déconnexion ; vous pouvez en demander l'effacement à contact@krok-studio.com.
• Copies de sauvegarde de la base : gardées 7 jours, puis effacées.

8.8 Vous déconnecter et retirer l'accès

Dans l'appli : Réglages, « Google Agenda », puis « Déconnecter Google Agenda ». L'appli arrête aussitôt de suivre vos agendas, demande à Google d'annuler son accès, supprime le jeton et efface les événements qu'elle gardait. La suppression de votre compte de coach fait de même.

L'agenda « Mon Créneau : séances » et les séances déjà écrites restent dans votre compte Google : vous choisissez de les garder ou de les supprimer, dans Google Agenda.

Depuis votre compte Google : à tout moment, sur myaccount.google.com/permissions, retirez l'accès de Mon Créneau (Google peut l'afficher sous une adresse technique qui se termine par « supabase.co »). L'appli ne peut alors plus rien lire ni écrire ; elle vous prévient et vous propose de vous reconnecter. Pour qu'elle efface aussi ce qu'elle gardait, choisissez ensuite « Déconnecter Google Agenda » dans l'appli, ou écrivez-nous.

8.9 Usage limité des données Google

L'utilisation par Mon Créneau des informations reçues des API Google respecte les règles de Google sur les données des utilisateurs (Google API Services User Data Policy), y compris les exigences d'usage limité (« Limited Use »). Google propose deux déclarations types, l'une dans l'aide à la vérification des applis, l'autre dans ses règles pour les API Google Workspace. Mon Créneau reprend les deux, en anglais :

Mon Créneau's use of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

9. Contact et mises à jour

Pour toute question sur ces règles ou sur vos données : contact@krok-studio.com.

Ces règles seront mises à jour avant tout changement dans l'utilisation des données, et avant la publication de l'appli sur l'App Store et Google Play. La date de mise à jour figure en haut de page.