Politique de confidentialité

Qui est responsable

MCP for Suunto sur suunto.mcp.visin.ch est exploité par Marco Visin, Lugano, Suisse. Marco Visin est responsable de vos données personnelles : c'est le responsable du traitement au sens de la loi fédérale suisse sur la protection des données (LPD) et, lorsqu'il s'applique, du règlement général sur la protection des données de l'UE (RGPD).

Pour toute question sur vos données, ou pour exercer vos droits, écrivez à marco@visin.ch.

Ce que nous conservons et pourquoi

Nous ne conservons que ce dont le service a besoin pour fonctionner :

• Votre compte. Votre adresse e-mail et le mot de passe que vous avez choisi pour MCP for Suunto. Le mot de passe n'est stocké que sous forme de hachage scrypt : nous ne pouvons donc pas le voir. Nous conservons aussi la date de création du compte, celle de votre dernière connexion, et si le compte est désactivé ou s'il s'agit d'un compte administrateur. Nous en avons besoin pour vous fournir un compte et le protéger.
• Votre demande d'accès. Si vous demandez l'accès, le message que vous écrivez à l'administrateur, pour qu'il puisse décider. Ce message est supprimé lorsque votre demande est approuvée. Si un serveur de messagerie est configuré pour ce service et que l'administrateur n'a pas désactivé les notifications par e-mail, votre adresse e-mail et ce message lui sont aussi envoyés par e-mail (voir « Qui reçoit vos données »).
• Codes d'invitation. Si vous vous inscrivez avec un code d'invitation, l'invitation enregistre votre adresse e-mail et la date à laquelle vous l'avez utilisée.
• Votre connexion Suunto. Votre nom d'utilisateur Suunto, le jeton d'accès et le jeton d'actualisation que Suunto fournit lorsque vous connectez votre compte ici, la date d'expiration du jeton d'accès, si la connexion doit être renouvelée, et vos réglages : unités, mode lecture seule et fuseau horaire, avec l'heure de votre connexion et le résultat de la requête de test faite à ce moment-là (combien d'entraînements vous aviez sur les 30 derniers jours, ou pourquoi la requête a échoué). Ils sont stockés de façon chiffrée avec AES-256-GCM. Vous vous connectez sur la page de Suunto elle-même, donc votre mot de passe Suunto n'atteint jamais ce serveur. Pendant la connexion, nous conservons un hachage d'un code à usage unique qui expire au bout de 10 minutes, pour vérifier que la réponse de Suunto vous est bien destinée. Nous en avons besoin pour accéder à vos données Suunto pour vous.
• Apps d'IA connectées. Lorsque vous connectez une app d'IA, nous conservons l'enregistrement de l'app (le nom et les adresses web qu'elle indique elle-même) et les jetons qui lui permettent d'agir pour votre compte. Les jetons ne sont stockés que sous forme de hachages. Nous conservons aussi la date de chaque connexion et de sa dernière utilisation, pour que vous puissiez la voir et la révoquer.
• Journal d'activité. Pour chaque action effectuée par une app d'IA (un appel d'outil, par exemple suunto_list_workouts), nous enregistrons l'heure, l'app, l'outil, la durée et si l'action a réussi. Nous n'enregistrons pas ce qui a été lu ou écrit : ni entraînements, ni fréquence cardiaque, ni sommeil, ni positions, ni itinéraires, ni points d'intérêt. Vous voyez les dernières entrées sur la page Apps connectées, et nous utilisons ce journal pour détecter les erreurs et les abus.
• Sessions de navigateur. Lorsque vous vous connectez, votre navigateur reçoit un code de session aléatoire dans un cookie. Nous n'en conservons qu'un hachage, avec sa date de création et sa date d'expiration.
• Adresse IP. Comme tout site web, le serveur voit l'adresse IP de chaque requête. MCP for Suunto ne la garde qu'en mémoire, pendant un jour au plus, pour limiter les tentatives répétées, par exemple un trop grand nombre de connexions. Il ne l'enregistre ni dans sa base de données ni dans son journal.
• Journal du serveur. Le serveur tient un court journal technique des événements tels qu'une connexion échouée, un nouveau compte ou une erreur. Il ne contient ni mots de passe, ni jetons, ni adresses IP, ni le contenu de vos données Suunto. Toutefois, lorsqu'une action échoue, le message d'erreur peut contenir un court détail, comme une valeur refusée par Suunto.

Vos entraînements et vos données de santé ne sont pas stockés

Lorsqu'une app d'IA demande vos entraînements, votre activité quotidienne, votre fréquence cardiaque, votre sommeil, votre récupération, vos itinéraires ou vos points d'intérêt, MCP for Suunto les récupère auprès de Suunto et les transmet à l'app. Ils ne sont enregistrés ni dans la base de données ni sur disque. Cela vaut aussi pour les fichiers FIT et les positions de vos entraînements et itinéraires. Pour économiser les appels à Suunto, les réponses récentes sont gardées dans la mémoire du serveur pendant 2 à 30 minutes (20 Mo au plus par utilisateur) et disparaissent au redémarrage du serveur. Le journal du serveur ne contient que les courts détails d'erreur décrits ci-dessus. Votre page de compte affiche le résultat de la requête de test faite lors de votre connexion, et n'interroge jamais Suunto juste pour afficher la page.

Les itinéraires et les points d'intérêt que votre app d'IA ajoute sont enregistrés dans votre compte Suunto, comme si vous les aviez ajoutés dans la Suunto App, et peuvent être synchronisés avec votre montre. MCP for Suunto ne les modifie ni ne les supprime ensuite : vous pouvez les supprimer dans la Suunto App.

Bases juridiques

Nous traitons vos données conformément à la LPD suisse. Lorsque le RGPD s'applique, nous nous appuyons sur les bases juridiques suivantes :

• Contrat (art. 6, par. 1, point b, RGPD) : pour vous fournir le service que vous utilisez, c'est-à-dire votre compte, votre connexion Suunto, vos apps connectées et votre journal d'activité.
• Votre consentement explicite (art. 9, par. 2, point a, RGPD) pour les données de santé, comme la fréquence cardiaque, le sommeil et la récupération : vous le donnez lorsque vous connectez votre compte Suunto et demandez ces données à votre app d'IA. Vous pouvez le retirer à tout moment en supprimant la connexion Suunto.
• Intérêt légitime (art. 6, par. 1, point f, RGPD) : pour assurer la sécurité et le bon fonctionnement du service, avec la limitation des tentatives répétées, le journal du serveur, les sauvegardes et la protection contre les abus.
• Obligation légale (art. 6, par. 1, point c, RGPD) : lorsque la loi nous oblige à conserver ou à communiquer des données.

Durée de conservation

• Compte : jusqu'à ce que vous le supprimiez, ou que l'administrateur le supprime.
• Connexion Suunto : jusqu'à ce que vous la supprimiez sur la page Compte Suunto ou que vous supprimiez votre compte. Les jetons sont alors supprimés de ce serveur, et MCP for Suunto demande à Suunto de mettre fin à la connexion. Un code à usage unique utilisé pendant la connexion est supprimé dès qu'il a servi, et les codes expirés sont supprimés régulièrement.
• Demandes d'accès : supprimées immédiatement en cas de refus, et après 30 jours si personne n'y répond. Le message à l'administrateur est supprimé lorsque la demande est approuvée. Un e-mail de notification concernant une demande reste dans la boîte aux lettres de l'administrateur jusqu'à ce qu'il le supprime.
• Sessions de navigateur : jusqu'à ce que vous vous déconnectiez, pendant 14 jours au plus.
• Connexions d'apps : un jeton d'accès est valable 60 minutes. Une connexion prend fin lorsque vous la révoquez, ou après 60 jours sans utilisation. Chaque jeton est supprimé un jour après son expiration.
• Enregistrements d'apps (non liés à votre compte) : supprimés après un jour si personne n'a approuvé l'app, sinon dès qu'aucune connexion ne les utilise, au plus tôt 90 jours après la première approbation de l'app.
• Journal d'activité : 90 jours.
• Invitations : jusqu'à ce que l'administrateur supprime l'invitation. La suppression de votre compte ne retire pas votre adresse e-mail d'une invitation que vous avez utilisée : écrivez-nous et nous la supprimerons.
• Journal du serveur : conservé dans des fichiers de taille limitée (50 Mo au total). Les entrées les plus anciennes sont écrasées.
• Sauvegardes : une copie de la base de données est faite avant chaque mise à jour du logiciel ou retour à une version précédente, ou manuellement, et seules les 10 copies les plus récentes sont conservées. Elles sont gardées sur le même serveur. Les données que vous supprimez peuvent rester dans ces copies jusqu'à leur remplacement. Votre connexion Suunto y reste chiffrée.

Qui reçoit vos données

Nous ne vendons pas vos données, ne les partageons pas avec des annonceurs et ne les utilisons pas pour entraîner des modèles d'IA. Vos données ne sont transmises qu'à :

• Suunto. Pour accéder à vos données, MCP for Suunto envoie à Suunto les requêtes que vous ou vos apps d'IA effectuez, avec votre jeton d'accès et la clé de ce service : lire les entraînements, les fichiers FIT, l'activité quotidienne, la fréquence cardiaque, le sommeil, la récupération, les itinéraires et les points d'intérêt, et ajouter des itinéraires et des points d'intérêt. Suunto Oy est un responsable de traitement indépendant pour les données de votre compte Suunto et les traite selon sa propre politique de confidentialité.
• Les apps d'IA que vous connectez. Chaque app que vous approuvez, par exemple Claude d'Anthropic ou ChatGPT d'OpenAI, reçoit les données d'entraînement, de santé, d'itinéraires et de points d'intérêt qu'elle demande, ainsi que les résultats de ses actions. L'utilisation de ces données par l'app est régie par ses propres conditions et sa politique de confidentialité, ainsi que par vos réglages dans cette app. Nous n'avons aucun contrôle sur cette utilisation.
• Notre hébergeur. MCP for Suunto fonctionne sur un serveur loué auprès d'un fournisseur d'hébergement cloud. Ce fournisseur stocke les données pour nous et n'a pas le droit de les utiliser à ses propres fins.
• L'administrateur. L'administrateur de MCP for Suunto voit une liste des comptes avec l'adresse e-mail, le statut, si Suunto est connecté, la dernière connexion, le nombre d'appels d'outils des 7 derniers jours et les messages des demandes d'accès. Les pages d'administration n'affichent jamais vos jetons Suunto ni vos données Suunto. Si un serveur de messagerie est configuré pour ce service et que l'administrateur n'a pas désactivé les notifications par e-mail concernant les demandes d'accès (elles sont activées par défaut), il reçoit aussi par e-mail l'adresse e-mail et le message de chaque nouvelle demande, envoyés via le serveur de messagerie de ce service.
• Les autorités, uniquement lorsque la loi l'exige.

Nous n'utilisons aucun service d'analyse, de publicité ou de suivi, et ces pages ne chargent rien depuis d'autres sites web.

Données dans d'autres pays

Les données que MCP for Suunto conserve se trouvent sur son serveur et dans ses sauvegardes, chez l'hébergeur. Suunto et les apps d'IA que vous connectez peuvent traiter vos données dans d'autres pays, notamment aux États-Unis. Cela se produit parce que vous choisissez d'utiliser leurs services. Si vous demandez l'accès, votre adresse e-mail et votre message peuvent être envoyés par e-mail à l'administrateur : le fournisseur du serveur de messagerie peut donc aussi les traiter. Leurs politiques de confidentialité expliquent où ces données sont traitées et comment elles sont protégées.

Comment nous protégeons vos données

• Votre connexion Suunto, avec ses jetons, est chiffrée avec AES-256-GCM. Les mots de passe de MCP for Suunto sont hachés avec scrypt, et les codes de session, les jetons et les codes d'invitation ne sont stockés que sous forme de hachages.
• Les connexions à MCP for Suunto utilisent HTTPS, et les connexions à Suunto aussi.
• Les formulaires sont protégés contre les requêtes falsifiées, les pages fonctionnent sous une politique de sécurité du contenu stricte, et les tentatives répétées sont limitées.
• Le service fonctionne dans un conteneur verrouillé, sans droits supplémentaires, et son système de fichiers est en lecture seule, à l'exception de son dossier de données.

Comme MCP for Suunto communique avec Suunto pour vous, le serveur détient la clé de chiffrement et peut déchiffrer vos jetons Suunto. C'est pourquoi il ne vous demande jamais votre mot de passe Suunto, mais uniquement les jetons, que vous pouvez supprimer à tout moment sur la page Compte Suunto.

Aucun système n'est parfaitement sûr. Si vous découvrez un problème de sécurité, veuillez le signaler à marco@visin.ch. Nous vous répondrons dès que possible et corrigerons les problèmes confirmés.

Vos droits

Vous avez le droit de savoir quelles données nous détenons à votre sujet, d'en obtenir une copie, de les faire rectifier ou supprimer, d'en limiter l'utilisation ou de vous y opposer, et de les transférer ailleurs. Vous pouvez faire une grande partie de cela vous-même :

• Modifiez ou supprimez votre connexion Suunto sur la page Compte Suunto. Pour les données de votre compte Suunto lui-même, utilisez la Suunto App ou adressez-vous à Suunto.
• Consultez vos apps connectées et le journal d'activité, et révoquez l'accès de n'importe quelle app, sur la page Apps connectées.
• Supprimez votre compte sur la page Sécurité. Cela supprime immédiatement votre compte, votre connexion Suunto, vos sessions, vos connexions d'apps et votre journal d'activité. Les copies dans les sauvegardes disparaissent au fur et à mesure que les sauvegardes sont remplacées. Vos données chez Suunto restent intactes.

Pour tout le reste, écrivez à marco@visin.ch. Nous répondons dans un délai de 30 jours.

Vous pouvez aussi déposer une plainte auprès d'une autorité de protection des données : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) ; dans l'UE, l'autorité du pays où vous vivez ou travaillez.

Cookies

MCP for Suunto n'utilise que les cookies nécessaires à son fonctionnement. Il n'y a aucun cookie de suivi ou de publicité. Les cookies ne sont envoyés qu'à ce site, ne peuvent pas être lus par les scripts de la page et ne sont partagés avec personne.

• __Host-sum_session maintient votre connexion. Il est supprimé lorsque vous vous déconnectez et expire au plus tard après 14 jours.
• __Host-sum_pre protège les formulaires de connexion et d'inscription contre les requêtes falsifiées. Il expire après 12 heures.
• __Host-sum_lang mémorise la langue que vous avez choisie dans le menu des langues. Il expire après 365 jours.

Enfants

MCP for Suunto n'est pas destiné aux enfants. Vous devez avoir au moins 16 ans pour l'utiliser. Si vous pensez qu'un enfant a créé un compte, écrivez-nous et nous le supprimerons.

Modifications de cette politique

Nous mettons à jour cette politique lorsque le service ou la loi change. La date en haut de la page indique la dernière modification. Si une modification touche la façon dont vos données sont utilisées, nous la signalerons sur ce site.