Sécurité et protection des données

Comment nous protégeons les données de votre club

• Chiffrement en transit

  Tout ce qui circule entre votre navigateur ou l'application et nos serveurs est chiffré avec TLS (HTTPS). Nous envoyons en outre l'en-tête HSTS, qui oblige le navigateur à toujours utiliser HTTPS avec nous pendant un an.

• Chiffrement des données sensibles

  Les données de catégorie particulière des fiches réglementaires de santé (comme l'origine ethnique, l'identité de genre, le handicap ou l'assureur santé) sont stockées chiffrées. Les identifiants des prestataires de paiement et des intégrations de chaque site sont également stockés chiffrés, et les clés privées des certificats sont protégées par un mot de passe renforcé par un secret du serveur qui ne se trouve pas dans la base de données.

• Chaque salle de sport, isolée des autres

  Chaque personne travaille avec un profil rattaché à une entreprise et à un site, et les autorisations et les requêtes sont limitées à ce périmètre. Un club ne voit pas les données d'un autre, et au sein d'un club, chaque rôle ne voit que ce que son site lui permet.

• Sauvegardes chiffrées et vérifiées

  Nous effectuons une sauvegarde quotidienne des bases de données. Chaque sauvegarde est chiffrée (AES-256) avant de quitter le serveur et stockée dans un espace de stockage chiffré ; les sauvegardes sont conservées 15 jours. Pour nous assurer qu'elles sont réellement exploitables, nous réalisons un test de restauration qui monte une sauvegarde dans un environnement distinct et vérifie que les données s'y trouvent.

• Codes QR d'accès à usage unique

  Le QR que l'adhérent présente au tourniquet est généré de façon aléatoire, il est à usage unique et se renouvelle dès qu'il ouvre une porte. S'il n'est pas utilisé, il expire au bout de 24 heures et est remplacé par un autre. Il n'existe aucune clé fixe qui puisse être copiée ou transférée.

• Journal d'audit

  Les actions importantes sont enregistrées avec la personne qui les a effectuées et le canal utilisé (panneau, application ou assistant), afin de pouvoir vérifier ce qui s'est passé et quand.

Protection des comptes

• Mots de passe

  Les nouveaux mots de passe doivent comporter au moins 8 caractères (et 72 au maximum). Ils ne sont jamais stockés en clair.

• Limitation des tentatives de connexion

  Si quelqu'un se trompe de mot de passe à plusieurs reprises, l'accès est bloqué pendant un certain temps. Le blocage se lève de lui-même et ne rend pas le compte inutilisable.

• Vérification en deux étapes (2FA)

  Disponible avec n'importe quelle application de codes (Google Authenticator, Authy et similaires), avec des codes de récupération au cas où vous perdriez votre téléphone. Elle est obligatoire pour les administrateurs de la plateforme et pour l'équipe des sites qui décident de l'exiger ; la personne qui l'active de sa propre initiative ne peut plus la contourner lors de la connexion. Si vous marquez un appareil comme de confiance, elle ne vous est plus demandée pendant 7 jours.

• Expiration de la session

  Les sessions du panneau expirent au bout de 7 jours et il faut se reconnecter. Vous pouvez consulter et fermer vos sessions actives.

Où sont hébergées les données

Les serveurs et les bases de données de la plateforme se trouvent chez Amazon Web Services, dans un centre de données en Espagne (Union européenne). L'assistant LAIA fonctionne avec des modèles d'IA exécutés sur des serveurs situés dans l'Union européenne. Pour plus de détails sur le traitement des données, consultez la politique de confidentialité.

Fournisseurs qui traitent des données (sous-traitants ultérieurs)

Voici les fournisseurs qui traitent les données de votre club pour que le service fonctionne. Ils n'utilisent les données que sur nos instructions.

Si le club active des intégrations avec d'autres services (balances à bioimpédance, logiciels de gestion), les données sont partagées avec eux parce que le club en décide ainsi. Lorsqu'un fournisseur se trouve en dehors de l'Espace économique européen, le transfert repose sur le cadre de protection des données UE-États-Unis ou sur les clauses contractuelles types de la Commission européenne.

Contrat de sous-traitance des données (DPA)

Si votre club a besoin de signer un contrat de sous-traitance des données avec nous, nous vous l'envoyons sur demande en écrivant à info@fitmewise.com.

Politique de divulgation des vulnérabilités

Si vous pensez avoir trouvé une faille de sécurité dans Fitmewise, nous voulons le savoir. Merci de nous prévenir de manière responsable.

Comment signaler

Écrivez-nous à info@fitmewise.com. Les coordonnées figurent aussi dans /.well-known/security.txt.

Ce que doit contenir le signalement

• Ce que vous avez trouvé et où (adresse web, écran ou endpoint).
• Les étapes pour le reproduire, avec une preuve de concept si vous en avez une.
• L'impact que vous estimez et les données qui pourraient être concernées.
• Vos coordonnées, au cas où nous aurions besoin de plus d'informations (vous pouvez écrire de façon anonyme, mais nous ne pourrons alors pas vous répondre).

Ce qui entre dans le périmètre

• fitmewise.com
• le Dashboard (le panneau de gestion du club)
• l'API de Fitmewise
• les applications mobiles de Fitmewise et celles de chaque club

Ce qui est exclu

• Les attaques par déni de service (DoS/DDoS) ou les tests de charge.
• L'ingénierie sociale visant le personnel, les clubs ou les adhérents (hameçonnage, appels, etc.).
• Les attaques physiques contre des bureaux, des équipements ou des installations.
• L'envoi de spam ou de messages en masse via nos formulaires ou nos canaux.

Bonne foi

Si vous agissez de bonne foi, n'accédez pas à davantage de données que nécessaire pour démontrer la faille, ne les modifiez ni ne les détruisez, n'affectez pas le service et nous laissez un délai raisonnable pour la corriger avant de la rendre publique, nous n'engagerons aucune action en justice contre vous pour cette recherche.

Délais de réponse

Nous accusons réception sous 5 jours ouvrés au maximum et vous tenons informé de l'avancement de la correction.

Récompenses

Nous n'avons pas de programme de récompenses financières (bug bounty) : nous ne rémunérons pas les signalements, mais nous vous remercions sincèrement de votre effort.