Politique de confidentialité
Ce que nous savons de vous, pourquoi nous le savons, combien de temps nous le gardons, et ce que vous pouvez exiger de nous.
En vigueur depuis le 29 septembre 2026·Version 2026-09-29
EraCoach met en relation des coachs professionnels et des personnes qui souhaitent être accompagnées. Cette activité suppose de traiter des données personnelles, y compris, parfois, des informations sensibles évoquées au cours d'un accompagnement. La présente politique décrit précisément ce que nous faisons de ces données.
Deux lois s’appliquent en même temps
L'éditeur étant établi au Québec et le service étant accessible depuis l'Union européenne, nous appliquons la Loi 25 (Québec) et le RGPD (Union européenne). Lorsque les deux divergent, nous retenons la règle la plus protectrice pour vous.
1. Qui est responsable de vos données
Le responsable du traitement est Agile Smart (entreprise individuelle exploitée par Koffi Anani Hounnou), 206-25, avenue Vincent-D'Indy, Montréal (Québec) H2V 2S8, Canada, NEQ 2278861648.
La personne responsable de la protection des renseignements personnels au sens de la Loi 25, qui est aussi votre point de contact pour toute question relative au RGPD, est Koffi Anani Hounnou. Vous pouvez la joindre directement à [email protected].
Une précision utile sur les rôles : lorsque vous réservez une séance, le coach est responsable de sa propre pratique et des notes qu'il prend en dehors de la plateforme. Nous sommes responsables de la plateforme, du compte, de la réservation et du paiement. Ce que votre coach conserve chez lui ne relève pas de la présente politique : interrogez-le directement.
2. Les données que nous collectons
Nous distinguons trois provenances : ce que vous nous donnez, ce que votre usage produit, et, pour les coachs uniquement, ce que nous recueillons auprès de sources publiques.
2.1 Ce que vous nous fournissez
| Catégorie | Détail |
|---|---|
| Compte | Nom, adresse e-mail, mot de passe (jamais conservé en clair), langue de communication, photo de profil, numéro de téléphone si vous le renseignez |
| Profil de coach (public) | Présentation, titre professionnel, spécialités, certifications et pièces justificatives, années d’expérience, tarif et devise, langues parlées, ville, liens vers vos réseaux, photos |
| Réservation | Créneaux, fuseau horaire, format de séance, message adressé au coach, motif d’annulation le cas échéant |
| Paiement | Montant, devise, statut, identifiants de transaction. Aucune donnée de carte bancaire ne transite par nos serveurs ni n’y est stockée : la saisie a lieu chez Stripe |
| Échanges | Messages envoyés via la messagerie de la plateforme, avis publiés, réponses des coachs aux avis |
| Assistance | Demandes de contact, tickets de support et pièces jointes, signalements |
| Candidatures | CV, lettre et coordonnées si vous répondez à une offre ou déposez une candidature spontanée |
| Abonnements | Adresse e-mail pour l’infolettre et les alertes emploi, si vous les demandez |
Ce que nous vous demandons de ne pas écrire
La messagerie de la plateforme sert à organiser vos séances. N'y consignez pas d'informations de santé, d'orientation sexuelle, d'opinions politiques, religieuses ou syndicales, ni de difficultés personnelles détaillées. Le contenu d'un accompagnement se traite en séance, pas dans un fil de messages conservé sur nos serveurs.
2.2 Ce que votre usage produit
| Catégorie | Détail |
|---|---|
| Journaux techniques et de sécurité | Adresse IP, agent utilisateur, horodatage, connexions et tentatives de connexion, appareils reconnus, codes à usage unique |
| Journal d’activité | Actions significatives effectuées sur la plateforme (création de compte, réservation, modification de profil, action d’administration), pour la traçabilité et la résolution des litiges |
| Historique de la relation | Séances passées, annulations, remboursements, notes moyennes |
| Agenda (coachs, sur activation) | Si vous connectez Google Agenda ou un flux ICS, nous lisons uniquement vos plages occupées pour éviter les doubles réservations. Nous ne lisons ni les titres, ni les participants, ni le contenu de vos événements |
| Mesure d’audience | Uniquement si vous y consentez : voir la politique des cookies |
| Délivrance des e-mails | Pour nos envois transactionnels : e-mail remis, ouvert, rejeté, afin de détecter les adresses invalides |
2.3 Coachs : données recueillies auprès de sources publiques
Pour constituer l'annuaire, il nous arrive d'identifier des coachs professionnels à partir de sources publiques (sites professionnels, annuaires de certification, profils publics) et de les contacter pour leur proposer d'y figurer. Nous pouvons alors préparer une fiche à partir de ces informations publiques.
- Les données concernées sont strictement professionnelles : nom, activité, spécialités, ville, coordonnées professionnelles, informations publiées par la personne elle-même.
- Une fiche préparée de cette façon n'est jamais publiée sans l'accord de la personne concernée. Elle reste hors ligne tant que le coach ne l'a pas validée.
- Le premier message que nous adressons indique d'où viennent les informations et comment demander leur suppression, conformément à l'article 14 du RGPD.
- Base légale : notre intérêt légitime à constituer un annuaire professionnel. Vous pouvez vous y opposer à tout moment, sans avoir à vous justifier, et la suppression est immédiate.
2.4 Données que les coachs enregistrent sur leurs clients
Un coach peut tenir, dans son espace, un dossier sur les personnes qu'il accompagne. Il peut aussi y ajouter lui-même une personne qui n'a pas de compte EraCoach, par exemple pour l'inviter à réserver. Cette section vous concerne si vous êtes, ou avez été, le client d'un coach présent sur EraCoach.
Qui est responsable
Le coach est responsable de ces données : c'est lui qui décide de ce qu'il enregistre et pourquoi. EraCoach n'est que son prestataire technique (sous-traitant au sens de l'article 28 du RGPD) : nous les hébergeons pour son compte, nous ne les lisons pas et nous ne les utilisons pour rien d'autre, ni prospection, ni statistiques, ni entraînement d'intelligence artificielle.
| Donnée | Qui la voit | Durée de conservation |
|---|---|---|
| Fiche client : nom, e-mail, téléphone, étiquettes | Le coach seul | 3 ans après la dernière activité entre le coach et vous |
| Notes de séance privées | Le coach seul, jamais vous ni un autre coach | 3 ans après la dernière activité entre le coach et vous |
| Réponses aux questions d'accueil rédigées par le coach | Le coach seul | 3 ans après la dernière activité entre le coach et vous |
| Journal des heures de coaching (utile aux certifications du coach) | Le coach seul | Les heures restent ; votre nom et vos coordonnées en sont effacés 3 ans après la séance |
| Inscription à un programme et forfait payé d'avance | Le coach et vous | Comme les réservations et les pièces comptables (voir §4) |
- La « dernière activité », c'est la dernière modification de votre fiche par le coach ou votre dernière séance avec lui. Passé 3 ans, la suppression est automatique.
- Les questions d'accueil sont écrites par le coach, jamais par EraCoach. Elles vous sont présentées après votre réservation, sont toutes facultatives, et vous pouvez les passer.
- Si le coach vous a ajouté lui-même, l'e-mail qu'il vous envoie depuis EraCoach vous l'indique et renvoie à cette section.
- Pour exercer vos droits (copie, rectification, suppression), adressez-vous au coach, qui est responsable de ces données. Vous pouvez aussi nous écrire : nous transmettons votre demande au coach sans délai et l'aidons à y répondre. Si le coach ferme son compte, ces données sont supprimées avec lui.
- Les coachs sont invités à ne pas enregistrer de données de santé, sauf lorsqu'elles sont nécessaires à l'accompagnement et que vous y avez consenti.
3. Pourquoi nous traitons ces données, et sur quel fondement
Chaque traitement repose sur une base légale précise. Lorsque la base est le consentement, vous pouvez le retirer à tout moment ; lorsqu'elle est l'intérêt légitime, vous pouvez vous y opposer.
| Finalité | Base légale (RGPD) | Ce que cela recouvre |
|---|---|---|
| Créer et gérer votre compte | Exécution du contrat | Inscription, authentification, gestion du profil, préférences |
| Mettre en relation coach et coaché | Exécution du contrat | Recherche, affichage des profils publics, réservation, messagerie, agenda |
| Encaisser et reverser | Exécution du contrat | Paiement, commission, versement au coach, remboursement, gestion des litiges |
| Émettre et conserver les pièces comptables | Obligation légale | Factures, registres fiscaux (TPS/TVQ) |
| Vérifier les coachs | Exécution du contrat et intérêt légitime | Contrôle des certifications et de l’expérience avant publication d’une fiche |
| Sécuriser la plateforme | Intérêt légitime | Détection de fraude et d’abus, journaux de sécurité, protection contre les attaques automatisées |
| Modérer les contenus | Intérêt légitime et obligation légale | Traitement des signalements, retrait de contenus illicites, application de la charte |
| Améliorer le service | Consentement | Mesure d’audience : uniquement si vous l’acceptez |
| Vous informer | Consentement | Infolettre et alertes emploi, avec désabonnement dans chaque envoi |
| Constituer l’annuaire professionnel | Intérêt légitime | Prospection de coachs à partir de sources publiques (voir §2.3) |
| Répondre à vos demandes | Exécution du contrat et intérêt légitime | Support, réclamations, exercice de vos droits |
Envois transactionnels. Les messages indispensables au service (confirmation de réservation, rappel de séance, reçu, réinitialisation de mot de passe, information sur un changement de conditions) relèvent de l'exécution du contrat. Ils ne sont pas de la prospection et ne comportent donc pas de lien de désabonnement : s'en désinscrire reviendrait à ne plus être prévenu de ses propres rendez-vous.
4. Combien de temps nous les conservons
| Donnée | Durée de conservation | Pourquoi cette durée |
|---|---|---|
| Compte et profil | Tant que le compte existe | Vous en gardez la maîtrise |
| Après suppression du compte | 7 jours de délai de rétractation, puis anonymisation | Le délai permet de revenir sur une suppression déclenchée par erreur ; au-delà, seules subsistent les données soumises à une obligation légale |
| Réservations et messages | 3 ans après la dernière séance | Durée de prescription applicable au Québec, en cas de contestation |
| Factures et pièces comptables | 6 ans | Obligation fiscale canadienne et québécoise |
| Avis publiés | Tant que la fiche du coach est en ligne | Si vous supprimez votre compte, l’avis est dissocié de votre identité plutôt que supprimé, pour ne pas fausser la note du coach |
| Journaux de sécurité et d’audit | 12 mois | Investigation en cas d’incident |
| Journal de délivrance des e-mails | 12 mois | Détection des adresses invalides et preuve d’envoi |
| Preuve du consentement aux cookies | 3 ans | Capacité à démontrer le consentement (RGPD art. 7-1) |
| Données enregistrées par un coach sur ses clients (fiche, notes, réponses aux questions d’accueil) | 3 ans après la dernière activité entre le coach et le client | Le coach en a besoin tant qu’il accompagne la personne ; au-delà, rien ne justifie de les garder (voir §2.4) |
| Coachs prospectés sans réponse | 3 ans après le dernier contact | Recommandation de la CNIL en matière de prospection professionnelle |
| Candidatures | 2 ans après le dernier échange | Recommandation de la CNIL |
| Infolettre et alertes | Jusqu’au désabonnement, puis 3 ans d’inactivité | Vous ne devez pas rester dans une liste que vous avez quittée |
Ces durées sont appliquées automatiquement par une purge quotidienne, et non au cas par cas.
5. Qui accède à vos données
En interne, l'accès est limité aux personnes qui en ont besoin pour leur mission. Les comptes d'administration sont protégés par une authentification à deux facteurs obligatoire, et chaque action sensible est journalisée.
Vos données sont visibles par les autres utilisateurs uniquement dans la mesure où vous l'avez décidé : la fiche d'un coach est publique par choix du coach ; l'identité d'un coaché n'est communiquée qu'au coach qu'il a sollicité.
Nous ne vendons pas vos données et ne les louons à personne. Aucune donnée personnelle n'est cédée à des courtiers en données ni à des annonceurs.
6. Nos sous-traitants
Nous faisons appel à un nombre volontairement réduit de prestataires. Chacun est lié par un accord de sous-traitance et n'agit que sur nos instructions.
| Prestataire | Rôle | Données concernées | Localisation |
|---|---|---|---|
| Hetzner Online GmbH | Hébergement des serveurs, de la base de données et des fichiers | Toutes les données de la plateforme | Nuremberg, Allemagne (UE) |
| Cloudflare, Inc. | Réseau de diffusion, protection contre les attaques | Adresse IP, en-têtes de requête | Réseau mondial, siège aux États-Unis |
| Stripe, Inc. / Stripe Payments Europe Ltd. | Paiement, versement aux coachs, vérification d’identité des coachs (KYC) | Identité, coordonnées, données de paiement et données bancaires du coach | Irlande et États-Unis |
| Resend, Inc. | Envoi des e-mails transactionnels et suivi de leur délivrance | Adresse e-mail, contenu du message envoyé | États-Unis |
| Google Ireland Ltd. | Mesure d’audience (avec consentement) et synchronisation d’agenda (sur activation par le coach) | Identifiant de mesure pseudonyme ; plages occupées de l’agenda du coach | Irlande et États-Unis |
| Functional Software, Inc. (Sentry) | Détection des erreurs applicatives | Contexte technique de l’erreur, adresse IP | États-Unis |
La base de données est auto-hébergée. Elle tourne sur nos propres serveurs, sans passer par un fournisseur de base de données géré. Nos versions précédentes de cette page mentionnaient Vercel et Supabase Inc. : ni l'un ni l'autre n'intervient dans le traitement de vos données.
7. Transferts hors du Québec et de l’Union européenne
L'hébergement principal se trouve dans l'Union européenne. Certains prestataires du tableau ci-dessus sont toutefois établis aux États-Unis, ce qui constitue une communication de renseignements personnels hors du Québec au sens de la Loi 25, et un transfert hors Union européenne au sens du RGPD.
- Encadrement juridique : chaque transfert repose sur les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y adhère, sur le Data Privacy Framework UE-États-Unis.
- Évaluation préalable : conformément à l'article 17 de la Loi 25, nous évaluons avant tout transfert si le renseignement bénéficiera d'une protection équivalente, au regard de la sensibilité de la donnée, de la finalité et des mesures de protection en place.
- Minimisation : nous ne transmettons à chaque prestataire que ce dont il a strictement besoin. Sentry reçoit un contexte technique, pas le contenu de vos échanges ; Resend reçoit l'e-mail à envoyer, pas votre historique.
Vous pouvez obtenir une copie des garanties encadrant ces transferts en écrivant à [email protected].
8. Décision automatisée, profilage et intelligence artificielle
Aucune décision produisant des effets juridiques ou vous affectant de manière significative n'est prise de façon exclusivement automatisée. La vérification d'un coach, la suspension d'un compte et le traitement d'un litige sont décidés par une personne.
Le classement des résultats de recherche s'appuie sur des critères objectifs, pertinence par rapport à votre recherche, spécialités, langue, ville, note moyenne, complétude de la fiche. Il ne constitue pas une décision individuelle automatisée au sens de l'article 22 du RGPD.
Nous utilisons des outils d'intelligence artificielle pour produire des contenus éditoriaux (articles, descriptions). Ces outils ne reçoivent pas les données de vos comptes, de vos réservations ni de vos messages. Si cela devait changer, cette politique serait modifiée avant toute mise en œuvre.
9. Âge minimum
EraCoach est réservé aux personnes âgées d'au moins 18 ans. Nous ne collectons pas sciemment de données concernant des mineurs et ne leur proposons pas de service.
Si vous constatez qu'un compte a été créé par une personne mineure, signalez-le à [email protected] : le compte sera fermé et les données supprimées sans délai.
10. Sécurité
Les mesures listées ci-dessous sont effectivement en place. Nous nous interdisons d’annoncer ici une garantie que nous ne pourrions pas démontrer.
- Chiffrement de toutes les communications en transit (TLS).
- Mots de passe stockés sous forme de condensats irréversibles : nous ne pouvons pas les lire.
- Cloisonnement des données au niveau de la base : chaque requête est filtrée par des politiques d'accès, y compris en cas de faille applicative.
- Authentification à deux facteurs obligatoire pour les comptes d'administration.
- Journal d’audit horodaté des actions sensibles, consultable par la seule administration.
- Sauvegarde chiffrée quotidienne de la base, dont la restauration est réellement testée chaque mois.
- Aucune donnée de carte bancaire sur nos serveurs : la saisie et la conservation sont assurées par Stripe, certifié PCI-DSS niveau 1.
- Protection contre les attaques automatisées et le trafic abusif en amont de nos serveurs.
Aucune mesure ne rend un système inviolable. Choisissez un mot de passe unique, ne le réutilisez pas ailleurs, et signalez-nous immédiatement toute activité suspecte sur votre compte.
11. En cas d’incident de confidentialité
Nous tenons un registre des incidents de confidentialité, comme l'exige la Loi 25.
- Si un incident présente un risque de préjudice sérieux, nous en informons la Commission d'accès à l'information du Québec et les personnes concernées avec diligence.
- Pour les personnes situées dans l'Union européenne, la notification à l'autorité de contrôle intervient dans les 72 heures suivant la prise de connaissance de la violation, conformément à l'article 33 du RGPD.
- L'information transmise précise la nature de l'incident, les données touchées, les conséquences probables et les mesures que vous pouvez prendre pour vous protéger.
12. Vos droits
- Accès
- Obtenir la confirmation que nous traitons vos données et en recevoir une copie.
- Rectification
- Faire corriger une information inexacte ou incomplète.
- Effacement
- Faire supprimer vos données, sauf lorsque la loi nous impose de les conserver (comptabilité) ou qu'elles restent nécessaires à la constatation d'un droit.
- Portabilité
- Recevoir dans un format structuré et lisible par machine les données informatisées que vous nous avez fournies. Ce droit est expressément prévu tant par le RGPD que par la Loi 25.
- Limitation
- Demander le gel d'un traitement pendant l'examen d'une contestation.
- Opposition
- Vous opposer à un traitement fondé sur l'intérêt légitime, et à tout moment à la prospection.
- Retrait du consentement
- Retirer votre accord à tout moment, sans que cela remette en cause ce qui a été fait auparavant.
- Cessation de diffusion et désindexation (Loi 25)
- Exiger que cesse la diffusion d'un renseignement vous concernant, ou que soit désindexé un lien qui y donne accès, lorsque cette diffusion vous cause un préjudice sérieux.
- Décision automatisée
- Être informé si une décision vous concernant repose exclusivement sur un traitement automatisé, et obtenir une intervention humaine. À ce jour, aucun traitement de ce type n'est en place.
- Directives post-mortem
- Définir des directives relatives au sort de vos données après votre décès.
Comment exercer ces droits. Écrivez à [email protected] ou utilisez le formulaire de contact. Nous répondons dans les 30 jours. Si nous devons vérifier votre identité, nous vous demandons le minimum nécessaire : jamais une copie de pièce d'identité par simple e-mail.
Une partie de ces droits s'exerce directement depuis votre compte : modifier vos informations, retirer votre profil de l'affichage public, vous désabonner des envois, et supprimer votre compte. La suppression s'enclenche depuis vos paramètres ; elle est exécutée au bout de 7 jours, délai pendant lequel vous pouvez revenir sur votre décision. Passé ce délai, votre profil est anonymisé et vos données propres (favoris, recherches, appareils, moyens de paiement, connexions d'agenda) sont supprimées.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission d'accès à l'information du Québec ou, si vous résidez dans l'Union européenne, l'autorité de contrôle de votre pays, en France la CNIL, en Espagne l'AEPD. Saisir une autorité ne vous prive d'aucun recours judiciaire.
14. Modifications de cette politique
Cette politique évolue avec le service. Toute modification substantielle (nouvelle finalité, nouveau destinataire, nouveau transfert hors du Québec ou de l'UE, changement de responsable de traitement) vous est notifiée par e-mail au moins 30 jours avant son entrée en vigueur, afin que vous puissiez vous y opposer ou fermer votre compte.
Les corrections de forme sont signalées par la mise à jour de la date d'entrée en vigueur et du numéro de version en tête de page.