La sécurité, en un lien.
Hébergement dans l’UE. Vous contrôlez les données. Nous les traitons. Chaque réponse, chaque fournisseur, chaque document est ici.
En bref
UE
Hébergement, stockage et vidéo sur AWS Francfort
Vous
Contrôlez les données. Nous les traitons.
0
Nom ou e-mail requis
DPA
Avec clauses contractuelles types si nécessaire
Aucun
Entraînement sur votre contenu privé sans votre consentement
Jamais
Vente de données personnelles
Dernière mise à jour : 2 novembre 2026.
Les réponses
UE
Où les données sont-elles hébergées ?
Sur AWS Francfort, dans l’UE. Cela couvre l’hébergement, le stockage, les sauvegardes et la diffusion vidéo. Les fonctions d’IA tournent sur Google Cloud, qui peut traiter des données hors de l’UE. Voir IA et sous-traitants.
Vous
Qui contrôle les données ?
Vous. Pour les données que vous envoyez via l’API et Teams, votre organisation est le responsable du traitement. Hyperhuman est le sous-traitant. Les clients API acceptent notre DPA, avec les clauses contractuelles types lorsque c’est requis. Besoin d’une copie ? Contactez-nous.
Prêt à signer
Que couvre le DPA ?
Notre DPA définit comment nous traitons vos données. Pour préparer le vôtre à la signature, envoyez votre dénomination sociale, l’adresse de votre siège social, votre numéro d’immatriculation et votre contact pour la protection des données via notre page de contact.
- Clauses contractuelles types, lorsque c’est requis.
- Préavis de 14 jours avant qu’un nouveau sous-traitant n’intervienne, avec le droit de s’y opposer.
- Notification de toute violation de données dans les meilleurs délais.
- Suppression dans les 30 jours suivant votre demande écrite, après la fin du contrat.
- Un audit à distance par période de 12 mois, avec un préavis de 30 jours.
Pas requis
Faut-il des noms ou des e-mails ?
Non. Nous n’avons pas besoin de savoir qui sont vos utilisateurs.
- Identifiez les membres avec votre propre identifiant externe.
- Générer et recommander fonctionnent aussi avec des attributs de profil anonymes.
- Nous ne stockons un profil simple (objectifs, âge, niveau) que si vous l’envoyez.
Optionnel
Comment les données de santé sont-elles traitées ?
Vous décidez de ce que vous envoyez. Les données de santé alimentent les fonctions fitness. Elles ne servent jamais au marketing. HIPAA et un BAA ne sont pas inclus.
- Blessures et limitations : texte libre optionnel quand vous adaptez ou générez une séance.
- Activité, sommeil, pas et fréquence cardiaque : envoi optionnel de données de santé.
- Readiness est calculée à partir des signaux que vous envoyez. Ce n’est pas un champ que vous soumettez.
- Apple Health et Health Connect ne s’appliquent que si l’utilisateur les connecte.
- La synchro des objets connectés ROOK ne s’applique que si vous l’activez.
Pas d’entraînement IA
Comment l’IA utilise-t-elle nos données ?
Les fonctions d’IA tournent sur Google Cloud (Vertex AI et Gemini). Elles traitent les données que vous envoyez, comme les attributs de profil, les notes de blessure optionnelles et les signaux de santé, pour générer et adapter des séances, rédiger des insights et analyser des vidéos. Nous n’utilisons pas votre contenu privé pour entraîner des modèles généralistes, sauf si vous y consentez.
- Nous pouvons utiliser des analyses agrégées et non identifiantes pour améliorer les fonctions et la sécurité.
- CloneMotion crée des clips d’exercice muets. Pas de clonage de voix.
- L’IA peut se tromper. Vérifiez les résultats avant de publier.
En place
Quelles mesures de sécurité sont en place ?
Les mesures de notre politique de confidentialité, plus la protection de votre contenu.
- Chiffrement en transit (HTTPS/TLS)
- Chiffrement au repos des bases de données, fichiers média et sauvegardes
- Réseaux durcis
- Contrôles d’accès et gestion des clés
- Protection des postes et audits
- Clés API limitées à votre organisation
- Vidéos de séances via des URL signées à durée limitée
Encadré
Quand les données quittent-elles l’UE/l’EEE ?
Quand un fournisseur hors UE/EEE les traite. Aujourd’hui, cela inclut Google Cloud pour l’IA, Grafana Cloud pour la supervision, Intercom pour l’assistance et Mailchimp pour l’e-mail. Ces transferts reposent sur des décisions d’adéquation ou sur les clauses contractuelles types.
Vous décidez
Combien de temps gardez-vous les données ?
Tant que le compte est actif, ou jusqu’à ce que vous les supprimiez. Les sauvegardes et les journaux sont conservés pour une durée limitée, puis effacés.
- Les sauvegardes ont lieu automatiquement plusieurs fois par jour vers un stockage redondant et chiffré dans l’UE.
- Demandez la suppression des données via notre page de contact. La suppression est terminée sous 10 jours ouvrés.
- Les demandes de droits sont traitées sous 1 mois.
- Les membres peuvent supprimer leur compte dans l’app : Profile → Account → Delete Account.
- Les pièces légales et financières sont conservées lorsque la loi l’exige.
Nous notifions
Et si un problème survient ?
Si un incident est susceptible d’engendrer un risque élevé pour les droits des personnes, nous vous prévenons, ainsi que les autorités, comme la loi l’exige. Vous avez trouvé une vulnérabilité ? Contactez-nous. Notre contact figure aussi dans security.txt.
Non
Avez-vous l’ISO 27001 ou le SOC 2 ?
Non. Nous n’avons ni l’ISO 27001, ni le SOC 2, ni l’ISO 13485 aujourd’hui. Enterprise peut cadrer des certifications formelles. Envoyez votre questionnaire de sécurité dans le chat.
Non
Hyperhuman est-il un dispositif médical ?
Non. Hyperhuman est un logiciel de fitness et de bien-être. Il ne diagnostique, ne traite, ne guérit ni ne prévient aucune maladie. Le contenu n’est pas un avis médical.
24/7
Quel support et quel SLA avons-nous ?
Le chat IA répond 24h/24, 7j/7. La disponibilité en direct est sur notre page de statut. Custom Enterprise ajoute une équipe nommée, le SSO et un SLA sur mesure.
Mensuel ou annuel
Comment fonctionnent le renouvellement et la résiliation ?
Les plans se renouvellent automatiquement, chaque mois ou chaque année, selon votre choix. Tous les détails figurent dans les Conditions Teams, sections 14 à 16.
- Résiliez dans l’app : Teams → Billing → Cancel Subscription.
- La résiliation prend effet à la fin de la période en cours. Vous gardez l’accès jusque-là.
- Les plans annuels sont un engagement pour toute la durée de la période.
- Vous avez changé d’avis après un renouvellement ? Résiliez et demandez le remboursement des frais du plan dans l’app, dans les 2 jours suivant le débit.
- Exportez vos données avant la fin de la période. Les clés API sont ensuite révoquées.
Documents
Demander le DPA
Demandez une copie, avec les clauses contractuelles types.
Mesures de sécurité
Les mesures techniques et organisationnelles que nous appliquons.
Conditions API
Où le DPA et les clauses contractuelles types sont mentionnés.
Politique de confidentialité
Ce que nous collectons, partageons, conservons et supprimons.
État du système
Disponibilité en direct et incidents pour l’API et les applications.
security.txt
Où signaler une vulnérabilité.
Toutes les conditions
Teams, API et Club.
Sous-traitants
Les fournisseurs qui traitent les données client. Les outils optionnels ne s’appliquent que si vous les activez.
| Nom | Finalité | Lieu | S’applique quand |
|---|---|---|---|
| Amazon Web Services | Hébergement, stockage, sauvegardes et diffusion vidéo, y compris le CDN | UE (Francfort) | Toujours |
| Google Cloud (Vertex AI, Gemini) | Fonctions d’IA : génération et adaptation de séances, insights, analyse vidéo, traduction et voix | États-Unis et monde | Quand vous utilisez les fonctions d’IA |
| Grafana Cloud | Journaux, métriques et supervision des apps | États-Unis | Toujours |
| Intercom | Chat d’assistance | États-Unis | Quand quelqu’un ouvre le chat ou contacte l’assistance |
| Mailchimp | E-mails de compte, d’invitation et produit | États-Unis | Quand nous écrivons à votre équipe ou à vos membres |
| Stripe | Traitement des paiements. Nous ne stockons pas les numéros de carte complets. | Voir le fournisseur | Lorsque vous encaissez des paiements |
| Firebase | Rapports de plantage et notifications push | Voir le fournisseur | Apps qui les utilisent |
| Google Analytics | Analytique produit | Voir le fournisseur | Analytique du site et du produit |
| ROOK | Synchro des objets connectés | Voir le fournisseur | Seulement si vous activez les objets connectés |
| Zernio | Publication sur les réseaux sociaux que vous activez | Voir le fournisseur | Seulement si vous publiez sur les réseaux sociaux |
| YouTube | Publication que vous activez | Voir le fournisseur | Seulement si vous connectez YouTube |
| Wix | Intégrations de site que vous activez | Voir le fournisseur | Seulement si vous utilisez Wix |
Plus de questions
Pouvons-nous obtenir un DPA signé ?
Oui. Les clients API acceptent notre DPA, avec les clauses contractuelles types lorsque c’est requis. Contactez-nous pour une copie.
Les données sont-elles chiffrées au repos ?
Oui. Les bases de données, les fichiers média et les sauvegardes sont chiffrés au repos sur AWS Francfort. Tout le trafic est chiffré en transit avec HTTPS/TLS. Voir toutes nos mesures de sécurité.
Quelles données d’utilisateur final figurent dans vos journaux ?
Les journaux peuvent inclure l’adresse IP, les données d’appareil et de navigateur, et les appels API. N’envoyez un nom ou un e-mail que si vous en avez besoin.
Pouvons-nous exporter ou supprimer les données des membres ?
Oui. Les données des membres sont disponibles via l’API. Les entrées de santé et de nutrition envoyées peuvent être supprimées via l’API. Les exports plus larges se font sur demande.
Comment les membres de notre app suppriment-ils leur compte ?
Dans l’app : Profile → Account → Delete Account. Ou via notre page de contact. La suppression est terminée sous 10 jours ouvrés.
Vendez-vous des données personnelles ?
Non. Nous ne vendons pas de données personnelles.
Peut-on refuser les analyses non identifiantes ?
Pas en libre-service aujourd’hui. Les règles de données sur mesure font partie d’Enterprise.
HIPAA est-il inclus ?
Non. Nous ne sommes pas un business associate au sens de HIPAA. Un BAA n’est pas inclus, sauf accord écrit.
Comment les vidéos de séances sont-elles protégées ?
Les vidéos sont diffusées via des URL AWS signées à durée limitée. Les clés API sont limitées à votre organisation. Le DRM et les packs hors ligne ne sont pas disponibles.
Quelles lois sur la vie privée couvrez-vous ?
Le RGPD et le UK GDPR, avec un hébergement dans l’UE. Vous fournissez l’avis de confidentialité à vos utilisateurs et recueillez les consentements nécessaires. Nous traitons selon vos instructions.
Quelle limite d’âge s’applique ?
Les services sont destinés aux utilisateurs de 18 ans et plus.
Existe-t-il un SDK natif ?
Non. L’API est l’intégration. Des clients typés peuvent être générés depuis la spécification OpenAPI. AI Motion utilise le SDK Asensei dans votre app.
