Version 3 · 22 août 2026

Politique de confidentialité

Dernière mise à jour : 22/08/2026 Version : 3

Bienvenue sur Orusta. La présente Politique de confidentialité explique comment Challenge Arena Software FZCO ("nous", "notre", "Orusta") collecte, utilise, partage et protège vos données personnelles lorsque vous utilisez notre application mobile et les services associés (les "Services").

Orusta est une application de fitness social. Par nature, elle traite des informations relatives à votre activité physique et à vos performances sportives. Certaines de ces informations sont considérées comme des données de santé, c'est-à-dire une catégorie particulière bénéficiant d'une protection renforcée. Nous détaillons ci-dessous précisément ce que nous en faisons, et le contrôle dont vous disposez.

Nous avons conçu Orusta selon un principe simple : rien de sensible n'est collecté sans votre accord explicite, et vous pouvez revenir sur chacun de vos choix à tout moment depuis l'application.

1. Responsable du traitement et contacts

Challenge Arena Software FZCO Société à responsabilité limitée de zone franche (FZCO), licence n° 80218 délivrée par la Dubai Integrated Economic Zones Authority (DIEZA) IFZA Properties, DSO-IFZA, Dubai Silicon Oasis, Dubai, Émirats Arabes Unis

• Questions relatives à vos données : privacy@orusta.com
• Questions juridiques : legal@orusta.com

Représentant dans l'Union européenne (art. 27 RGPD). Orusta proposant ses Services à des résidents de l'Espace économique européen, un représentant établi dans l'Union est désigné comme point de contact des autorités de contrôle et des personnes concernées :

Steeve Langlet, France Contact : legal@orusta.com

2. Champ d'application

La présente politique s'applique à l'application mobile Orusta, à ses fonctionnalités (défis vidéo, défis dotés d'un lot, battles en direct, entraînements et routines, messagerie, clubs, rencontres sportives, boutique et abonnements) ainsi qu'aux sites et pages web associés. Elle ne s'applique pas aux services tiers vers lesquels l'application peut renvoyer et qui disposent de leurs propres politiques.

Certaines fonctionnalités décrites ici ne sont pas encore ouvertes dans toutes les versions de l'application. Une fonctionnalité absente de votre version ne donne lieu à aucun traitement : la présente politique décrit ce que nous faisons lorsque vous l'utilisez, jamais par anticipation.

3. Catégories de données que nous collectons

3.1 Données de compte et de profil

Adresse e-mail, identifiant Google (en cas de connexion via Google), nom d'utilisateur, photo de profil ; date de naissance, genre, taille, poids, sports pratiqués, niveau d'entraînement, objectifs. Certaines de ces informations sont facultatives.

3.2 Données de santé et de performance sportive

Répétitions comptées, durée et intensité des séances, progression, records personnels, classements et rangs. Ces données sont traitées comme des données de santé (voir section 5).

3.3 Données de mouvement (points squelettiques)

Pour compter vos répétitions, l'application analyse votre posture en temps réel sur votre appareil. Cette analyse produit des points squelettiques (coordonnées de mouvement, dites "keypoints"). Par défaut, ce traitement reste local à votre téléphone et n'est pas transmis. Il n'est capturé et envoyé à nos serveurs que si vous y consentez expressément (finalité "Amélioration de la détection", voir section 4).

3.4 Contenus générés

Vidéos de défis, messages échangés dans les chats, battles et clubs, posts de rencontre, votes, contenus de personnalisation (avatar, cosmétiques).

3.5 Données de localisation

Ville approximative uniquement, jamais de coordonnées précises en continu, et seulement lorsque vous utilisez volontairement la fonction de rencontres sportives.

3.6 Données de paiement et d'abonnement

Historique d'achats, statut de l'abonnement Orusta VIP et du Pass VIP, transactions et soldes de monnaies virtuelles (tickets, pièces, carats). Nous ne recevons ni ne stockons vos numéros de carte bancaire : les paiements sont traités par Apple, Google et notre prestataire d'abonnement (voir section 9).

3.7 Données techniques et d'usage

Identifiant d'appareil, modèle d'appareil, version de l'application, système d'exploitation, langue, adresse IP, et journaux d'usage et de qualité technique de détection. L'adresse IP est utilisée pour dériver un pays approximatif puis n'est pas conservée dans nos données d'analyse.

3.8 Données de santé issues d'Apple Santé (iOS)

Avec votre autorisation, Orusta lit vos séances de sport enregistrées dans Apple Santé (natation, course, fitness, etc.) afin de valider automatiquement certaines sessions sans que vous ayez à les filmer, et peut réécrire vos séances Orusta dans Apple Santé pour centraliser votre historique sportif. Ces échanges relèvent des données de santé (section 5). L'accès est géré par Apple : rien n'est lu ni écrit sans votre autorisation, que vous pouvez révoquer à tout moment dans les réglages iOS.

3.9 Notifications

Si vous les activez, nous vous adressons des notifications push (activité, défis, social, et, si vous y consentez, promotions). Un jeton de notification est traité par le service d'acheminement pour vous les délivrer.

3.10 Participation à un défi doté d'un lot

Lorsque vous participez à un défi récompensé par un lot réel, nous traitons votre identifiant de compte, votre performance et la vidéo soumise, aux fins d'organiser le défi et de désigner le gagnant. Uniquement si vous gagnez, nous traitons en plus les coordonnées nécessaires à la remise du lot (identité et adresse de livraison), communiquées au partenaire dotant le défi et au transporteur pour cette seule finalité. Le détail figure dans le Règlement des jeux-concours.

Nous ne collectons aucune donnée de suivi publicitaire et n'intégrons aucun SDK publicitaire ou d'analyse tiers intrusif (Firebase Analytics, Meta SDK, Mixpanel, etc.). Notre télémétrie est first-party (nos propres serveurs). Nous n'utilisons aucun outil de rapport de plantage (ni Sentry, ni Crashlytics, ni équivalent), et ne collectons donc aucune donnée de crash.

4. Finalités, bases légales, consentement et durées

Nous rattachons chaque traitement à une finalité et à une base légale précises. Les finalités marquées "consentement" sont désactivées par défaut et ne s'activent que par votre choix explicite, révocable à tout moment dans Profil > Données & confidentialité.

Retrait du consentement. Le retrait est aussi simple que l'octroi, sans conséquence sur votre accès aux fonctionnalités essentielles. Le retrait vaut pour l'avenir et n'affecte pas la licéité des traitements effectués avant. Les effets par finalité (arrêt de la collecte, exclusion des jeux de données futurs, suppression rétroactive pour la capture de points de mouvement) sont détaillés en section 13.

Durées. Voir section 10.

5. Données de santé et catégories particulières (art. 9 RGPD)

Vos données de performance sportive, vos mesures corporelles et vos points de mouvement relèvent des catégories particulières de données au sens de l'article 9 du RGPD. Leur traitement repose sur votre consentement explicite, distinct et spécifique, recueilli via le système décrit en section 4.

• Ces données ne sont jamais utilisées à des fins de monétisation pour les personnes de moins de 18 ans (voir section 14).
• Elles sont pseudonymisées dans nos systèmes d'analyse (voir section 7).
• Vous pouvez retirer votre consentement à tout moment, ce qui interrompt la collecte correspondante.

Les points de mouvement analysés ne sont pas utilisés pour vous identifier : Orusta ne pratique aucune reconnaissance faciale ni identification biométrique. Ces données servent uniquement à compter et évaluer vos mouvements sportifs.

6. Monétisation, abonnements et paiements

Orusta propose trois achats facultatifs : l'abonnement Orusta VIP, des packs de carats, et l'activation du Pass VIP. Les carats sont la seule monnaie virtuelle vendue contre de l'argent réel ; les tickets et les pièces ne sont jamais vendus et s'obtiennent en jouant. Le détail contractuel figure dans nos Conditions Générales d'Utilisation.

• Les paiements sont traités par Apple (App Store), Google (Google Play) et notre prestataire de gestion d'abonnements. Nous recevons de leur part un statut de transaction et d'abonnement, jamais vos coordonnées bancaires complètes.
• Nous conservons l'historique de vos achats et de vos soldes de monnaies virtuelles pour fournir le service, gérer les litiges et remplir nos obligations comptables.
• Les conditions contractuelles de ces achats (renouvellement, résiliation, remboursement, absence de valeur monétaire des monnaies virtuelles) figurent dans nos Conditions Générales d'Utilisation.

7. Pseudonymisation (et ce qu'elle n'est pas)

Vos données d'analyse sont pseudonymisées. Concrètement : les événements que nous enregistrons ne portent pas votre identifiant de compte, mais un identifiant aléatoire distinct, dédié à l'analyse. Cet identifiant n'est pas dérivé de vos données de compte, il est tiré au hasard, et la correspondance entre les deux est conservée séparément.

La pseudonymisation n'est pas l'anonymisation, et nous ne prétendons pas le contraire. Parce que nous détenons cette table de correspondance, la ré-association reste techniquement possible de notre côté. Ces données restent donc des données personnelles au sens du RGPD, protégées comme telles, et vos droits (section 12) s'y appliquent pleinement. C'est aussi la raison pour laquelle nous les déclarons comme liées à votre identité dans les formulaires de confidentialité des boutiques d'applications : nous préférons la réponse exacte à la réponse flatteuse.

Ce que la pseudonymisation apporte réellement : une personne qui accéderait aux seules données d'analyse ne pourrait pas remonter jusqu'à vous, et nos traitements statistiques s'exécutent sans jamais manipuler votre identité.

À la suppression de votre compte, la correspondance est détruite et les données d'analyse résiduelles sont purgées ou définitivement dissociées, ce qui rend la ré-association impossible, y compris pour nous. Ces données ne sont utilisées que pour les finalités décrites en section 4.

8. Partage de données et anonymisation

Nous ne vendons ni ne louons vos données personnelles. À ce jour, aucune donnée n'est partagée avec des partenaires à des fins commerciales.

La finalité Partage de données, désactivée par défaut et proposée uniquement dans vos réglages, couvre l'inclusion éventuelle de vos données dans des jeux de données partagés avec des partenaires. Tant que vous ne l'activez pas, rien n'est partagé. Si un tel partage devait être mis en place, il ne concernerait que les personnes l'ayant explicitement activé, jamais les personnes de moins de 18 ans, et vous en seriez informé au préalable.

9. Destinataires et sous-traitants

Vos données sont traitées par des prestataires strictement nécessaires au fonctionnement du service. Nous les présentons par catégorie ; la liste nominative et à jour de nos sous-traitants est disponible sur demande à privacy@orusta.com.

Les paiements sont traités directement par Apple et Google via les boutiques d'applications, qui ne nous transmettent jamais vos données de carte bancaire.

Nous n'effectuons aucune vente de données personnelles identifiantes à des tiers (voir section 8).

10. Durées de conservation

• Données de compte et de profil : conservées tant que votre compte est actif ; suppression sous 30 jours après demande de suppression.
• Contenus (vidéos, messages) : conservés jusqu'à leur suppression par vous ou par la modération.
• Données de santé et de performance (analyse) : conservées sous forme pseudonymisée pendant 13 mois, puis supprimées automatiquement.
• Points de mouvement (si consentis) : supprimés rétroactivement en cas de retrait du consentement.
• Données de paiement / facturation : conservées pour la durée requise par nos obligations comptables et légales.
• Comptes bannis : certains identifiants techniques minimaux peuvent être conservés après un bannissement, afin de faire respecter la sanction et d'empêcher la recréation d'un compte (intérêt légitime à l'intégrité du service).
• Journaux techniques : conservés 14 jours par notre outil de supervision, puis supprimés automatiquement.

11. Transferts internationaux de données

Challenge Arena Software FZCO est établie à Dubai (Émirats Arabes Unis). Certaines données peuvent être traitées dans les EAU, l'Union européenne et les États-Unis.

Les Émirats Arabes Unis ne bénéficient pas d'une décision d'adéquation de la Commission européenne. Les transferts vers les EAU reposent donc sur des garanties appropriées au sens de l'article 46 du RGPD, à savoir les clauses contractuelles types de la Commission, complétées par des mesures techniques (chiffrement en transit, pseudonymisation des données d'analyse).

Il en va de même pour nos prestataires établis hors de l'Union, sauf lorsqu'ils sont couverts par une décision d'adéquation (par exemple le Royaume-Uni ou la Suisse, ou les États-Unis pour les organisations certifiées au titre du EU-US Data Privacy Framework).

Vous pouvez obtenir une copie des garanties mises en place en écrivant à privacy@orusta.com.

12. Vos droits

Conformément au RGPD (résidents de l'EEE) et à la loi émirienne sur la protection des données personnelles (Federal Decree-Law n° 45 de 2021), vous disposez des droits suivants :

• Accès à vos données ;
• Rectification des données inexactes ;
• Effacement ("droit à l'oubli"), disponible directement dans l'application ;
• Portabilité : export de vos données depuis l'application ;
• Limitation et opposition au traitement pour motif légitime ;
• Retrait du consentement à tout moment pour les traitements qui en dépendent ;
• Réclamation auprès d'une autorité de contrôle (UAE Data Office pour les EAU ; CNIL en France ; autorité compétente de votre pays dans l'EEE).

Pour exercer ces droits : privacy@orusta.com, ou directement via les fonctions d'export et de suppression de l'application.

Nous répondons à vos demandes dans un délai d'un mois (prolongeable pour les demandes complexes, avec information de votre part). Nous pouvons être amenés à vérifier votre identité avant de donner suite, afin de protéger votre compte contre les demandes frauduleuses.

13. Consentement : gestion et retrait

Vous gérez vos consentements finalité par finalité dans Profil > Données & confidentialité. À l'inscription, un écran unique vous permet de tout accepter ou de refuser, sans que cela conditionne l'accès à l'application. Certaines finalités sensibles ne sont proposées qu'au moment pertinent (par exemple lorsqu'une fonctionnalité concernée est utilisée pour la première fois), jamais toutes noyées à l'inscription.

Effets du retrait, par finalité :

• Analyse produit / Statistiques de performance : arrêt immédiat de la collecte ; les données déjà collectées restent licites et sont exclues des prochains traitements agrégés ; effacement possible sur demande.
• Personnalisation : arrêt ; la difficulté adaptative revient aux réglages par défaut.
• Amélioration de la détection : arrêt et suppression rétroactive des points de mouvement capturés.
• Partage de données : arrêt et exclusion de tous les jeux de données futurs.
• Marketing : arrêt des communications promotionnelles.

14. Mineurs

Orusta est réservé aux personnes âgées de 16 ans ou plus. Ce plancher est le maximum que l'article 8 du RGPD permet à un État membre de fixer pour le consentement aux services de la société de l'information. Aucun État de l'EEE n'allant au-delà, aucun accord parental n'est requis pour les comptes que nous acceptons, et nous n'en recueillons donc pas.

Les personnes de moins de 18 ans sont exclues de toute finalité de monétisation (statistiques de performance, amélioration de la détection, partage de données), ce qui est vérifié automatiquement à partir de la date de naissance et s'ouvre à la majorité.

Nous ne collectons pas sciemment de données concernant des personnes de moins de 16 ans. Parents et tuteurs peuvent nous écrire à privacy@orusta.com pour toute suppression.

15. Permissions de votre appareil

Orusta demande certaines autorisations, uniquement au moment où la fonctionnalité correspondante en a besoin, et vous pouvez les révoquer à tout moment dans les réglages de votre téléphone :

• Caméra : filmer vos défis, flux vidéo des battles, et analyse de posture pour compter vos répétitions.
• Microphone : audio des battles en direct.
• Photos : choisir votre photo de profil et enregistrer vos vidéos.
• Localisation approximative (pendant l'usage uniquement) : fonction de rencontres sportives (niveau ville).
• Apple Santé (iOS) : voir section 3.8.
• Notifications : envoi des notifications push.

Refuser une autorisation n'empêche pas d'utiliser le reste de l'application ; seule la fonctionnalité concernée devient indisponible.

16. Visibilité sociale et battles en direct

Orusta est une application sociale. Par conception, certaines informations sont visibles par d'autres utilisateurs :

• Profil public : nom d'utilisateur, avatar, niveau, XP, rangs, badges.
• Contenus : vos vidéos de défis approuvées, vos votes, vos posts de rencontre (avec la ville).
• Classements : votre position et vos performances peuvent y apparaître.
• Messagerie et clubs : vos messages sont visibles par leurs destinataires. Ils ne sont pas chiffrés de bout en bout et peuvent être examinés par la modération en cas de signalement.

Battles en direct. Pendant une battle, votre flux caméra et microphone est diffusé en temps réel à votre adversaire et, le cas échéant, aux spectateurs autorisés. Ce flux n'est pas enregistré de façon permanente (seule une soumission vidéo explicite est conservée).

Vous gardez le contrôle : réglages de profil, blocage d'un utilisateur, signalement et suppression de vos contenus à tout moment.

17. Décisions automatisées et lutte contre la triche

Comptage et détection. L'application utilise des traitements automatisés (analyse de posture) pour compter vos répétitions et évaluer la qualité d'exécution. Ces traitements produisent un résultat sportif, sans effet juridique.

Intégrité et anti-triche. Pour préserver l'équité, nous détectons automatiquement des signaux de triche (vidéos rejouées, mouvements simulés, incohérences). Ces signaux peuvent déclencher une revue, mais les sanctions significatives (annulation de scores, suspension, bannissement) font l'objet d'une intervention humaine : elles ne sont jamais prononcées par un algorithme seul.

Modération. La modération des contenus intervient sur signalement ou détection automatique. Toute décision de retrait ou de sanction est prise par un humain, jamais par un algorithme seul.

Vos droits (art. 22 RGPD). Vous pouvez demander une intervention humaine, exprimer votre point de vue et contester une décision automatisée ou de modération en écrivant à legal@orusta.com.

18. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement en transit (HTTPS/TLS), accès restreint et journalisé, authentification forte, pseudonymisation des données d'analyse. Aucun système n'étant infaillible, nous vous encourageons à protéger vos identifiants.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous en informons l'autorité de contrôle compétente et, lorsque le risque est élevé, les personnes concernées, conformément aux articles 33 et 34 du RGPD.

19. Cookies et traceurs

L'application mobile n'utilise pas de cookies publicitaires ni de traceurs tiers. Les seuls identifiants techniques utilisés sont nécessaires au fonctionnement (session, sécurité) ou relèvent de la mesure d'audience first-party décrite en section 4.

20. Modifications de la présente politique

Nous pouvons modifier cette politique. En cas de modification substantielle (nouvelle catégorie de données, nouvelle finalité, nouveau destinataire, nouveau transfert, durée de conservation modifiée), nous vous en informons via l'application ou par e-mail, avant que le nouveau traitement ne prenne effet.

Cette information ne constitue pas une nouvelle acceptation de votre part : la présente politique est un document d'information, non un contrat. En revanche, si une modification introduisait une nouvelle finalité reposant sur votre consentement, celui-ci vous serait demandé séparément et spécifiquement, via vos réglages de consentement, et jamais présumé.

La date de dernière mise à jour figure en tête de document, et la version en vigueur est toujours accessible dans l'application et sur https://orusta.com/fr/privacy.

21. Contact et réclamation

• Données personnelles : privacy@orusta.com
• Questions juridiques : legal@orusta.com
• Représentant dans l'Union européenne (art. 27 RGPD) : Steeve Langlet (France), legal@orusta.com

Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle compétente (voir section 12).