Tes données d'entraînement t'appartiennent — pourquoi ce n'est pas évident
150 millions de comptes compromis. Des bases militaires visibles sur une carte thermique. Des données de cycle menstruel partagées avec Facebook. Ce ne sont pas des scénarios hypothétiques — c’est arrivé ces dernières années, avec des apps de fitness que des millions de personnes utilisent au quotidien.
Quand tu cherches une app pour ta musculation, tu compares probablement les fonctionnalités : journal, minuteur, analyses, programmes. Ce que la plupart ne comparent pas : que se passe-t-il vraiment avec mes données ?
Ce que les apps de fitness savent sur toi
Une app de fitness moyenne collecte 12 des 35 catégories de données possibles — c’est ce qu’a révélé une analyse Surfshark portant sur 16 apps de fitness populaires début 2026. Les apps les plus gourmandes en données en collectent jusqu’à 24 catégories. 80 % des apps analysées partagent les données des utilisateurs avec des tiers.
Ça semble abstrait. Concrètement, ça signifie : ton poids corporel, ton volume d’entraînement, quand tu t’entraînes, à quelle fréquence, pendant combien de temps. Combiné avec des données de localisation, une adresse e-mail et un identifiant d’appareil. Certaines apps ajoutent des données nutritionnelles, des habitudes de sommeil ou des photos de progression.
Trois cas qui rendent ça concret
MyFitnessPal (2018) : L’app de nutrition et de fitness d’Under Armour a été piratée. 150 millions de comptes touchés — noms d’utilisateur, adresses e-mail, mots de passe hachés. Si l’incident s’était produit 12 semaines plus tard, le RGPD aurait été applicable et aurait permis des amendes allant jusqu’à 4 % du chiffre d’affaires annuel.
Strava Heatmap (2018) : La carte thermique mondiale de Strava a rendu visibles les itinéraires de jogging sur des bases militaires en Syrie, en Afghanistan et en Irak. Le chercheur en sécurité australien Nathan Ruser a découvert que les routes de patrouille et les périmètres des bases étaient clairement identifiables. Le Département de la Défense américain a ensuite restreint l’utilisation des trackers de fitness.
Flo Health (2021) : La FTC a constaté que l’app de suivi du cycle Flo Health avait partagé des données de santé sensibles — données de cycle, intentions de grossesse, symptômes — avec Facebook, Google et d’autres tiers. Malgré les promesses contraires dans la politique de confidentialité.
Ce ne sont pas des cas isolés. Privacy International a analysé l’app de perte de poids Noom et a constaté que les données de santé du questionnaire d’inscription (taille, poids, antécédents médicaux comme le diabète ou la dépression) étaient transmises en temps réel à cinq prestataires tiers.
Les données d’entraînement sont des données de santé
Un point souvent négligé : la Cour de justice de l’Union européenne a précisé en octobre 2024 que la notion de « données de santé » doit être interprétée largement au titre du RGPD. Les données permettant de tirer des conclusions sur l’état de santé relèvent de l’art. 9 du RGPD — la catégorie de protection la plus stricte.
Poids corporel, fréquence cardiaque, volume d’entraînement, temps de récupération — tout cela peut être considéré comme des données de santé particulièrement protégées. Leur traitement requiert un consentement explicite qui va au-delà du classique « J’accepte les conditions générales ».
Dans la pratique, de nombreuses apps de fitness ne traitent pas ces données en conséquence. Parce qu’il y a rarement eu des conséquences jusqu’ici.
Pourquoi l’inscription obligatoire est un problème
La plupart des apps de fitness exigent une inscription avant même que tu puisses enregistrer une série. L’Interaction Design Foundation classe le « Forced Registration » comme Dark Pattern : l’accès aux fonctions de base est restreint alors que l’inscription n’est pas nécessaire pour la fonctionnalité.
Pourquoi les apps font-elles ça ? Pas parce que ton entraînement a besoin d’un serveur. Mais parce qu’un compte avec adresse e-mail et profil d’utilisation est monétisable — par la publicité, des partenariats de données ou des campagnes d’upselling.
Pose-toi la question : une app qui enregistre séries, répétitions et poids a-t-elle vraiment besoin de ton adresse e-mail, ta date de naissance et ta localisation ?
Que se passe-t-il quand le prestataire ferme ?
Les apps basées sur le cloud ont une date de péremption. Pas théoriquement — en pratique.
Jawbone était un fabricant de fitness trackers valorisé à plusieurs milliards. Quand l’entreprise a fermé, les utilisateurs ont perdu l’accès à tout leur historique d’entraînement. Les appareils étaient encore vendus sur Amazon quand l’app était déjà morte.
Google Fit est abandonné en 2026 au profit de Google Health. Un outil de migration a été annoncé pour « plus tard dans l’année ». Ceux qui ratent l’annonce risquent de perdre leurs données.
Le schéma est toujours le même : tes données sont sur des serveurs que tu ne contrôles pas. Quand le service est arrêté, les données disparaissent. Des années d’historique d’entraînement, des records personnels, des données de progression — tout ça.
Offline-First, c’est plus qu’une fonctionnalité
Les informaticiens Martin Kleppmann, Adam Wiggins, Peter van Hardenberg et Mark McGranaghan ont décrit en 2019 lors de la conférence ACM Onward! un principe qu’ils appellent « Local-First Software » : un logiciel où les données résident principalement sur ton appareil — pas dans le cloud.
Leur argument central : les apps cloud font des utilisateurs des locataires de leurs propres données. Local-First renverse ça. Tu possèdes tes données parce qu’elles sont sur ton appareil. Le cloud devient optionnel, pas un prérequis.
Pour une app d’entraînement, Offline-First signifie concrètement :
- Pas d’Internet nécessaire. Pas de chargement, pas de spinner, pas de « connexion échouée » dans le sous-sol du gym.
- Pas de compte nécessaire. Tu installes l’app et tu t’entraînes. C’est tout.
- Pas de risque prestataire. Si le développeur ferme demain, tes données sont quand même sur ton appareil.
- Pas de tracking possible. Ce qui n’est pas sur un serveur ne peut pas être analysé, vendu ou piraté.
Photos de progression : la donnée la plus sensible
Le suivi corporel avec photos de progression est proposé dans beaucoup d’apps. On parle rarement de ce que ça implique pour la vie privée : tu stockes des images de toi en tenue minimaliste dans une app. Où atterrissent-elles ?
Dans les apps basées sur le cloud : sur les serveurs du prestataire. En cas de fuite de données — comme celle de MyFitnessPal — ces images pourraient tomber entre de mauvaises mains. Privacy Rights Clearinghouse a constaté que de nombreux développeurs d’apps de fitness n’ont pas de politique de confidentialité, envoient des données à des tiers non déclarés, et que peu d’entre eux chiffrent toutes les connexions.
Ce n’est pas une comparaison de fonctionnalités. C’est un problème fondamental d’architecture : les photos qui se trouvent sur des serveurs tiers représentent un risque que tu ne peux pas contrôler.
Comment hitPR résout ça
Je développe hitPR. J’ai construit cette app parce que je n’en avais moi-même trouvé aucune qui combine Offline-First, confidentialité et suivi complet de la musculation sans bloquer les fonctions de base derrière un paywall.
Voici ce que ça signifie concrètement — vérifiable dans notre politique de confidentialité :
Offline-First. L’app fonctionne entièrement sans Internet. Pas de compte nécessaire. Toutes les données d’entraînement — exercices, séries, poids, records personnels — sont stockées exclusivement en local sur ton appareil.
Pas de tracking. Pas de suivi utilisateur, pas de SDK publicitaires, pas d’analytique tierce. Pas de Firebase Analytics, pas de Mixpanel, pas de Segment. Je ne sais pas ce que tu t’entraînes — et je ne veux pas le savoir.
Les photos de progression restent sur ton appareil. Toujours. Elles sont chiffrées en AES-256, verrouillées biométriquement et exclues de la sauvegarde cloud. Les captures d’écran sont bloquées. Pas d’upload, pas de synchronisation, pas de risque.
La sauvegarde cloud est optionnelle. Ceux qui l’activent bénéficient d’un chiffrement AES-256-GCM avec clé individuelle par utilisateur. Stocké sur Cloudflare R2 via Supabase dans l’UE (Francfort). Mais l’app fonctionne tout aussi bien sans.
Toutes les fonctions principales sont gratuites. Journal, minuteur, 8 systèmes de progression, Muscle Heatmap, détection de records personnels, calculateur de disques, plus de 20 programmes, suivi corporel avec coffre-fort photos, plus de 1 300 exercices. Pro étend les périodes d’analyse et ajoute la sauvegarde cloud et le Watch Companion. Rien de tout ça n’est nécessaire pour s’entraîner complètement.
Export des données à tout moment. Export et import complets. Tes données t’appartiennent — même si tu supprimes hitPR demain.
Ce à quoi tu dois faire attention
Quelle que soit l’app que tu utilises — pose-toi ces questions avant d’entrer tes données :
- Où sont mes données ? Sur mon appareil ou sur des serveurs tiers ?
- Ai-je besoin d’un compte ? Si oui — pourquoi ? Que se passe-t-il avec mon adresse e-mail ?
- Puis-je exporter mes données ? Complètement, à tout moment, sans restriction ?
- Que se passe-t-il en cas de fuite de données ? Mes données d’entraînement sont-elles chiffrées ? Mes photos ?
- Que se passe-t-il si l’app est arrêtée ? Aurai-je encore accès à mes données ?
Les réponses à ces questions ne se trouvent généralement pas sur la page des fonctionnalités. Mais dans la politique de confidentialité. Ça vaut la peine de la lire.
Pour aller plus loin :
