Droits sur vos données : obtenir une copie complète

Vos historiques de fréquence cardiaque, de sommeil et de variabilité de la fréquence cardiaque (VFC) sont des données personnelles, et, dans de nombreux endroits, la loi permet de demander à l’entreprise qui les détient une copie dans un délai fixe, le plus souvent gratuitement. Dans l’UE, cette copie doit contenir toutes les données personnelles que l’entreprise traite, pas un résumé. Ce qu’une entreprise conserve quand vous cessez de payer est une autre affaire : cela relève de ses propres conditions, et certaines suppriment les comptes inutilisés au bout de deux ou trois ans.

Ce guide présente ce que les principaux services disent du sort de vos données, ce que la loi vous accorde dans chaque région, comment demander une copie et comment conserver ce que vous recevez. Nous avons lu les conditions d’utilisation, la politique de confidentialité et les pages d’aide de chaque entreprise, ainsi que les textes de loi, le 22 octobre 2026. Les textes européens et la page d’aide d’Oura sont cités dans leur version française ; les autres citations, tirées de pages en anglais, sont traduites par nos soins. Ce guide donne des informations générales sur le droit, pas un avis juridique.

Qui détient vos données d’appareil connecté

Vos données passent par trois endroits, au plus :

• L’appareil connecté. Une bague ou un bracelet stocke les mesures jusqu’à ce que le téléphone les récupère. RingConn indique que la Gen 3 « stocke jusqu’à 10 jours de données sans synchronisation » (RingConn Support).
• Le téléphone. Certaines applications y gardent les données. Apple Santé les conserve sur l’iPhone et, si si Indice de stress de Baevsky Un nombre sans unité tiré de l’histogramme des intervalles entre battements. Il monte quand le rythme devient plus stable et moins variable, ce que Baevsky interprétait comme une régulation de l’organisme sous tension. En savoir plus sur Indice de stress de Baevsky vous utilisez iCloud, avec un chiffrement de bout en bout : Apple n’a donc pas les clés (Apple Support, sécurité des données iCloud).
• Les serveurs de l’entreprise. De nombreux services envoient vos mesures sur leurs serveurs et y calculent les scores. Le centre d’aide de WHOOP lie ces trois étapes à l’abonnement : « Une fois votre abonnement terminé, WHOOP ne collectera, ne téléversera et n’analysera plus vos données biométriques » (WHOOP Support).

Le droit de la protection des données ne dit pas à qui appartiennent ces données. Il vous donne à la place des droits : les consulter et en obtenir une copie (article 15 du RGPD), les faire supprimer (article 17), et reprendre les données que vous avez fournies pour les confier à un autre service (article 20). Certaines entreprises vont plus loin dans leurs propres textes. La politique de confidentialité d’Ultrahuman dit : « Vous possédez vos données et contrôlez l’usage que nous en faisons », et celle de Samsung aux États-Unis : « Vos informations personnelles vous appartiennent. »

Ce que deviennent vos données quand vous cessez de payer

Quand vous cessez de payer

D’après les documents de chaque entreprise, 22 et 24 octobre 2026

• Oui
• En partie
• ! Les documents de l’entreprise se contredisent
• Non
• ? Non précisé

• WHOOP Abonnement requis pour utiliser pleinement l’app

  Anciennes données, sans payer

  ! Les documents de l’entreprise se contredisent. Centre d’aide : oui. Conditions : votre contenu n’est plus disponible « par l’intermédiaire des Services », et vous pouvez en demander une copie.

  Export, sans payer

  ? Non précisé. WHOOP ne dit pas si l’export dans l’app fonctionne après la fin de l’abonnement.

  Délai de suppression

  ? Non précisé. Aucun délai précisé. Les Conditions permettent à WHOOP de supprimer votre contenu « de nos bases de données actives » à la fin du contrat.

  Demander une copie

  privacy.whoop.com · privacy@whoop.com

• Oura Abonnement requis pour utiliser pleinement l’app

  Anciennes données, sans payer

  En partie. Seulement les trois scores quotidiens : « Score de préparation », activité et sommeil.

  Export, sans payer

  Oui. CSV depuis le Membership Hub, « même sans abonnement ». L’API en exige un.

  Délai de suppression

  ? Non précisé. Données conservées tant que le compte est actif ; aucun délai pour les comptes inutilisés.

  Demander une copie

  dataprotection@ouraring.com

• Garmin Connect Abonnement facultatif

  Anciennes données, sans payer

  Oui. L’app ne demande aucun abonnement. Au lancement de Connect+, Garmin a dit que toutes les fonctions et données existantes « resteront gratuites ».

  Export, sans payer

  Oui. Tout le compte en ZIP, depuis l’Account Management Center.

  Délai de suppression

  Oui. Supprimé après 2 ans sans activité sur le compte. Porter la montre ne compte pas.

  Demander une copie

  privacy@garmin.com · euprivacy@garmin.com

• Google Health (Fitbit) Abonnement facultatif

  Anciennes données, sans payer

  ? Non précisé. Google Health Premium est facultatif. Les données du coach sont conservées à sa fin ; Google ne dit pas ce qui change d’autre.

  Export, sans payer

  Oui. Google Takeout, avec Google Health sélectionné.

  Délai de suppression

  Oui. Comptes Fitbit non migrés vers Google : Google a fixé au 15 juillet 2026 le début des suppressions. Un compte Google inutilisé pendant 2 ans peut être supprimé.

  Demander une copie

  support.google.com/policies/troubleshooter/7575787

• Samsung Health Sans abonnement

  Anciennes données, sans payer

  Oui. Pas d’abonnement Samsung Health.

  Export, sans payer

  Oui. « Download personal data », dans l’app. Samsung ne liste pas les fichiers.

  Délai de suppression

  Oui. Un compte Samsung inutilisé pendant 24 mois peut être supprimé avec ses données, après un avertissement par e-mail.

  Demander une copie

  samsung.com/request-desk

• Apple Health Sans abonnement

  Anciennes données, sans payer

  Oui. Pas d’abonnement. Les données Santé restent sur l’iPhone.

  Export, sans payer

  Oui. « Export All Health Data », au format XML, sur l’iPhone.

  Délai de suppression

  Oui. Un compte iCloud inactif depuis 1 an peut être fermé, après un préavis de 30 jours.

  Demander une copie

  privacy.apple.com

• Withings Abonnement facultatif

  Anciennes données, sans payer

  Oui. Withings+ est facultatif, et les appareils « continuent de fonctionner normalement » sans lui. Withings dit que vous avez toujours un accès direct à vos données, quel que soit votre abonnement.

  Export, sans payer

  Oui. Une archive CSV par e-mail, depuis l’app.

  Délai de suppression

  ! Les documents de l’entreprise se contredisent. Conditions pour l’UE : suppression après 3 ans sans connexion, sans utilisation de l’appareil et sans clic sur un e-mail de Withings. Conditions pour les États-Unis : désactivation possible après 5 ans sans connexion. Politique de confidentialité : 10 ans.

  Demander une copie

  privacy@withings.com

• Welltory Abonnement facultatif

  Anciennes données, sans payer

  En partie. Formule gratuite : les 30 derniers jours. Les données plus anciennes sont supprimées si vous ne les exportez pas d’abord.

  Export, sans payer

  Oui. Une archive depuis l’app web, avec le même identifiant.

  Délai de suppression

  Oui. Suppression après 3 ans d’inactivité.

  Demander une copie

  support@welltory.com

• Polar Flow Abonnement facultatif

  Anciennes données, sans payer

  Oui. Polar Flow est gratuit. L’abonnement Fitness Program n’ajoute qu’un programme d’entraînement.

  Export, sans payer

  Oui. Download your data, sur account.polar.com, sans le sommeil ni l’activité que Polar calcule avec ses algorithmes. Séances et intervalles RR depuis le site Flow.

  Délai de suppression

  ? Non précisé. Conservées tant que le compte Flow est actif ; aucun délai pour les comptes inutilisés.

  Demander une copie

  privacy@polar.com

• Ultrahuman Abonnement facultatif

  Anciennes données, sans payer

  Oui. La bague ne demande aucun abonnement : « un accès à vie à la bague et à vos données ». Les PowerPlugs et Ultrahuman Max sont facultatifs.

  Export, sans payer

  En partie. Pas de bouton de téléchargement. Un jeton d’API personnel lit vos propres mesures quotidiennes, pour les programmeurs ; sur iPhone, Apple Santé en garde une copie.

  Délai de suppression

  ? Non précisé. Aucun délai pour les comptes inutilisés. Vos données peuvent être supprimées si vous fermez le compte.

  Demander une copie

  legal@ultrahuman.com

Dix cartes, une par service, avec quatre informations chacune : si vous pouvez encore voir vos anciennes données sans payer, si l’export fonctionne encore sans payer, si l’entreprise indique quand un compte inutilisé est supprimé, et où demander une copie. Chaque information commence par sa réponse en toutes lettres.

WHOOP : le centre d’aide et les Conditions d’utilisation ne disent pas la même chose

WHOOP n’a pas d’offre gratuite : ses Conditions d’utilisation exigent un abonnement actif pour utiliser le service, et, une fois l’abonnement terminé, les données du bracelet ne sont plus téléversées. Sur les anciennes données, les documents de WHOOP eux-mêmes se contredisent :

• L’article du centre d’aide, daté du 22 octobre 2026, répond à la question « Puis-je encore voir mes anciennes données après la résiliation ? » par : « Oui, vous pourrez consulter vos anciennes données, mais aucune nouvelle donnée ne sera enregistrée après la résiliation. »
• Les Conditions d’utilisation, datées du 3 août 2026, disent qu’à la fin de l’abonnement votre contenu « ne sera plus disponible pour vous par l’intermédiaire des Services, mais vous pouvez demander une copie de vos données ». Elles disent aussi qu’à la fin du contrat WHOOP « peut supprimer de nos bases de données actives Votre Contenu associé », et qu’elle « n’a aucune obligation de conserver quelque partie que ce soit de Votre Contenu ».

WHOOP ne dit pas si l’export depuis l’application fonctionne encore après la fin de l’abonnement ; exportez donc avant. La page Que deviennent mes données WHOOP si je résilie ? en donne les étapes.

Oura : trois scores, mais l’export fonctionne toujours

Sans abonnement, d’après Oura, « vous ne pourrez voir que vos trois scores quotidiens Oura (Préparation, Activité et Sommeil) », ainsi que la batterie, le profil et les réglages. Vos données ne sont pas supprimées à la résiliation, et « Même sans abonnement, vous pouvez exporter toutes vos données Oura au format CSV via l’Espace abonnement. » L’API exige un abonnement (Oura Member Care). Selon sa politique de confidentialité, Oura ne conserve les données de mesure que « tant que votre compte Oura est actif ». Plus de détails sur la page Que deviennent mes données Oura si je résilie ?

Une page par service

Chacune de ces pages expose ce qu’un service dit qu’il advient de vos données quand vous résiliez ou cessez de l’utiliser :

• Que deviennent mes données WHOOP si je résilie ?
• Que deviennent mes données Oura si je résilie ?
• Que deviennent mes données Garmin si j’arrête ?
• Que deviennent mes données Fitbit si je résilie ?
• J’arrête Samsung Health : et mes données ?
• Que deviennent mes données Withings si je résilie ?
• Que deviennent mes données Welltory si je résilie ?
• Que deviennent mes données Polar si j’arrête Flow ?
• Que deviennent mes données Ultrahuman si j’annule ?

Délais de suppression des comptes inutilisés

Plusieurs entreprises suppriment les comptes qui ne servent plus, ou se réservent ce droit, et « inutilisé » ne veut pas forcément dire ce que l’on croit :

• Garmin : « S’il n’y a aucune activité sur votre compte Garmin, sur l’ensemble de nos sites et services, pendant au moins 2 ans, votre compte sera supprimé. » Les connexions, les envois depuis un appareil, les achats, les interactions avec les e-mails marketing de Garmin et la participation à la communauté comptent comme activité ; Garmin range « L’utilisation d’un appareil » parmi ce qui n’en est pas une. Une montre portée chaque jour mais jamais synchronisée ne suffit pas à garder le compte actif. Garmin envoie d’abord plusieurs avertissements par e-mail, et « Les données ne peuvent pas être restaurées après leur suppression » (Garmin Support).
• Samsung : « Les comptes qui n’ont pas été utilisés pendant 24 mois seront classés comme inactifs. » Après l’envoi d’un e-mail, le compte « et tout ou partie de ses données associées peuvent être supprimés » (Samsung Support).
• Welltory : « Après trois ans d’inactivité, vos données personnelles seront supprimées. » Dans l’offre gratuite, l’historique est limité aux 30 derniers jours, et les données plus anciennes sont supprimées si on ne les exporte pas avant (Welltory).
• Withings : ses documents donnent trois délais. Ses Conditions générales pour l’UE disent que « WITHINGS supprime tout Compte inactif » : un compte sans connexion, sans connexion depuis ses appareils et sans clic sur un e-mail de Withings pendant plus de trois ans, après un préavis de 90 jours. Ses Conditions pour les États-Unis disent que « WITHINGS peut désactiver un Compte si l’Utilisateur ne s’est pas connecté pendant une période de cinq (5) ans ». Sa politique de confidentialité compte 10 ans de ce même type de silence avant qu’un compte soit considéré comme inactif et supprimé. Les trois textes étaient en ligne le 24 octobre 2026 ; prévoyez le délai le plus court qui pourrait s’appliquer à vous.
• Apple : les conditions d’iCloud permettent à Apple de fermer un compte inactif depuis un an, après un préavis de 30 jours par e-mail, et d’en supprimer les données « après un certain temps » qu’elles ne précisent pas.
• Google : Google « se réserve le droit de supprimer un compte Google inactif ainsi que son activité et ses données » après au moins deux ans sans activité dans l’ensemble de Google (Google Account Help).

Quand le service lui-même ferme

Des services ont fermé, avec des dates fixes et des délais courts :

• Les comptes Fitbit sont passés aux comptes Google. « Après le 19 mai 2026, vous ne pouvez plus accéder à Fitbit avec votre compte Fitbit. » Pour les comptes non migrés, Google a fixé au 15 juillet 2026 le jour où il commencerait à traiter les suppressions de données (Google Health Help).
• Microsoft Health Dashboard, le service associé au Microsoft Band : « Toutes les données du Microsoft Health Dashboard seront supprimées le 31/5/2019. » Les propriétaires du Band pouvaient continuer à l’utiliser sans ses fonctions web (Microsoft Support).
• Suunto Movescount a fermé après le 10 janvier 2022. Ensuite, « vous ne pourrez plus utiliser Movescount ni en importer votre historique d’entraînement » (Suunto).
• Endomondo a cessé de fonctionner le 31 décembre 2020. Les transferts vers MapMyRun étaient possibles jusqu’au 15 février 2021, et les données non supprimées par leur propriétaire devaient l’être après le 31 mars 2021 (Endomondo Support, archivé).
• polarpersonaltrainer.com, de Polar, a fermé le 31 décembre 2019 : « Si vous n’avez pas transféré vos données à temps, elles sont malheureusement supprimées et ne peuvent pas être restaurées » (Polar, FAQ sur la confidentialité).

Chaque fermeture a été accompagnée d’une date et d’un délai pour télécharger, après quoi les données étaient supprimées ou ne pouvaient plus être transférées.

Vos droits, région par région

UE et EEE : le RGPD

Le RGPD s’applique à toute entreprise qui propose des biens ou des services à des personnes dans l’UE, où qu’elle soit établie et que vous payiez ou non (article 3, paragraphe 2). Les données de santé forment une catégorie particulière (article 9).

• Une copie de vos données (article 15). Vous pouvez obtenir la confirmation que l’entreprise traite vos données, une copie de celles-ci, et des informations : les finalités, les destinataires, la durée de conservation, et l’origine des données si elles ne viennent pas de vous. Si vous demandez par voie électronique, la copie est fournie « sous une forme électronique d’usage courant », sauf si vous demandez autre chose. Vous pouvez demander le nom des destinataires, pas seulement leur catégorie, sauf s’ils ne peuvent pas être identifiés (Cour de justice, C-154/21).
• Gratuite, sans motif à fournir. La première copie est gratuite, et l’entreprise ne peut pas demander pourquoi vous la voulez (Cour de justice, C-307/22). Elle ne peut refuser ou facturer que les demandes « manifestement infondées ou excessives », ce qu’elle doit démontrer (article 12, paragraphe 5). Même une première demande peut être excessive, a jugé la Cour, mais seulement à titre exceptionnel : l’entreprise doit prouver qu’elle a été présentée dans une intention abusive, par exemple pour fabriquer une demande de réparation (C-526/24). En cas de doute raisonnable, elle peut vous demander de confirmer votre identité (article 12, paragraphe 6).
• Un mois. L’entreprise doit répondre « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande ». Au besoin, ce délai peut être prolongé de deux mois, « compte tenu de la complexité et du nombre de demandes », mais l’entreprise doit vous le dire dans le premier mois et en donner la raison (article 12, paragraphe 3).
• La portabilité (article 20). Pour les données que vous avez fournies, vous pouvez les obtenir « dans un format structuré, couramment utilisé et lisible par machine » et les faire transmettre à un autre service. Le droit s’applique quand le traitement repose sur votre consentement ou sur un contrat et qu’il est automatisé.
• Une plainte (article 77) auprès de l’autorité de contrôle du lieu où vous vivez, où vous travaillez ou où le problème s’est produit. Le Comité européen de la protection des données donne la liste de l’autorité de chaque pays (CEPD).

Royaume-Uni

Le UK GDPR conserve les mêmes droits, et une organisation « doit répondre sans retard injustifié, et dans un délai d’un mois » (ICO). Le Data (Use and Access) Act 2025 a changé trois choses :

• Vous avez droit à ce que l’entreprise trouve par « une recherche raisonnable et proportionnée », règle considérée comme en vigueur depuis le 1er janvier 2024 (section 78).
• Depuis le 5 février 2026, si l’entreprise a raisonnablement besoin d’informations supplémentaires pour identifier ce que couvre votre demande et vous les réclame, le délai d’un mois est suspendu jusqu’à votre réponse (section 76, en vigueur à cette date selon les Commencement Regulations 2026). Le guide de l’ICO ajoute : « Vous ne pouvez pas obliger quelqu’un à restreindre le champ de sa demande. »
• Depuis le 19 juin 2026, vous avez le droit de vous plaindre à l’entreprise elle-même, qui doit accuser réception de la plainte dans les 30 jours (section 103). Vous pouvez toujours vous plaindre à l’ICO, qui recommande dans la plupart des cas d’en parler d’abord à l’entreprise.

Californie

Le California Consumer Privacy Act concerne les entreprises à but lucratif qui exercent une activité en Californie et atteignent l’un de trois seuils : un chiffre d’affaires annuel de plus de 25 millions de dollars (ajusté selon l’inflation), l’achat, la vente ou le partage des informations personnelles de 100 000 consommateurs ou foyers ou plus, ou la moitié au moins de leur chiffre d’affaires tirée de la vente ou du partage de ces informations (Code civil de Californie, section 1798.140).

• Vous pouvez demander « les éléments précis d’informations personnelles » que l’entreprise a collectés sur vous (section 1798.110), et les déductions tirées à votre sujet sont elles aussi des informations personnelles (section 1798.140(v)).
• L’entreprise dispose de 45 jours, prolongeables une fois de 45 jours si c’est raisonnablement nécessaire, à condition de vous le dire dans les 45 premiers jours. La réponse est gratuite et lisible par machine « dans la mesure où c’est techniquement possible » (section 1798.130).
• Par défaut, elle couvre les 12 derniers mois. Vous pouvez demander les données remontant au 1er janvier 2022 ; une entreprise qui répond que c’est impossible ou disproportionné doit expliquer pourquoi en détail (CCPA Regulations, § 7024(h)).
• Une entreprise n’a pas à répondre plus de deux fois en 12 mois (section 1798.130(b)).

Les plaintes vont à la California Privacy Protection Agency ou au procureur général. D’autres États américains ont leurs propres lois : Garmin, par exemple, dit que les résidents de « tout État américain doté d’une loi complète sur la vie privée » peuvent demander l’accès, la correction, la suppression ou une copie portable (Garmin).

Brésil, Japon, Corée du Sud et Russie

Le texte russe est une version consolidée publiée par ConsultantPlus, le portail officiel n’ayant pas pu être consulté. En Corée, à partir du 20 février 2027, le droit de se faire transmettre ses données s’étend aussi aux grandes entreprises, définies par leur chiffre d’affaires et leur nombre d’utilisateurs (décret d’application, art. 42-2).

Dans le graphique ci-dessous, un mois compte pour 30 jours, et les jours ouvrés russes pour cinq par semaine, jours fériés exclus : 10 jours ouvrés apparaissent donc comme 14 jours calendaires, et 15 comme 21.

De combien de temps dispose une entreprise pour répondre

D’après la loi de chaque lieu, 22 octobre 2026

• Délai de réponse
• Prolongation maximale

• UE et EEE (RGPD) 1 mois, jusqu’à 3 si nécessaire pour des demandes complexes ou nombreuses

• Royaume-Uni (UK GDPR) 1 mois, jusqu’à 3 si nécessaire pour des demandes complexes ou nombreuses

• Californie (CCPA) 45 jours, jusqu’à 90 si c’est raisonnablement nécessaire, avec notification

• Brésil (LGPD) 15 jours pour la déclaration complète

• Corée du Sud (PIPA) 10 jours ; report possible, avec indication du motif

• Russie (152-FZ) 10 jours ouvrés, jusqu’à 15 avec un avis motivé

• Japon (APPI) « Sans délai » : aucun nombre de jours

0 30 60 90 jours

Un diagramme en barres des délais de réponse en jours calendaires, une barre par lieu, de 0 à 90 jours. UE et EEE (RGPD) : 1 mois, jusqu’à 3 si nécessaire pour des demandes complexes ou nombreuses. Royaume-Uni (UK GDPR) : 1 mois, jusqu’à 3 si nécessaire pour des demandes complexes ou nombreuses. Californie (CCPA) : 45 jours, jusqu’à 90 si c’est raisonnablement nécessaire, avec notification. Brésil (LGPD) : 15 jours pour la déclaration complète. Corée du Sud (PIPA) : 10 jours ; report possible, avec indication du motif. Russie (152-FZ) : 10 jours ouvrés, jusqu’à 15 avec un avis motivé. Japon (APPI) : « Sans délai » : aucun nombre de jours.

Une copie, ce sont toutes vos données, pas le résumé de l’application

Si une application vous montre la fréquence cardiaque minute par minute, sur plusieurs années, et qu’elle l’obtient des serveurs de l’entreprise, l’entreprise détient ces données et les traite. Selon notre lecture, la copie demandée en vertu du RGPD devrait alors les contenir à ce niveau de détail, et non sous forme de moyennes quotidiennes. Trois sources appuient cette lecture :

• La Cour de justice. Une copie est « la reproduction ou la transcription fidèle d’un original », de sorte qu’une « description purement générale des données » ne suffit pas. « La copie doit donc contenir toutes les données à caractère personnel faisant l’objet d’un traitement » (C-487/21, points 21 et 32), et elle doit « reproduire intégralement et fidèlement ces données » (point 39). Les données personnelles comprennent « toutes les informations résultant d’un traitement de données à caractère personnel » (point 26) ; par la même logique, cela couvre les scores calculés à partir de vos mesures.
• Les données de santé sous forme de résumé. Dans une affaire sur des dossiers médicaux, la Cour a jugé que « la fourniture d’un simple résumé ou d’une compilation de ces données […] sous une forme synthétique, pourrait créer le risque que certaines données pertinentes soient omises ou reproduites de manière incorrecte » (C-307/22, point 78).
• Le Comité européen de la protection des données. L’accès « ne peut être compris comme n’accordant qu’un résumé des données » (Lignes directrices 01/2022, point 23). Il comprend les données brutes issues d’appareils connectés et les « résultats d’une évaluation de la santé » (point 97). Et « l’utilisation d’outils en libre-service ne devrait jamais limiter l’étendue des données à caractère personnel reçues » (point 138) : un bouton d’export ne remplace pas une copie complète.

La documentation pour développeurs d’Oura elle-même montre pourquoi cela compte. Elle indique que la fréquence cardiaque moyenne fréquence cardiaque moyenne RR moyen Durée moyenne entre deux battements dans un enregistrement, en millisecondes. La fréquence cardiaque en est l’inverse : elle vaut 60 000 divisé par le RR moyen. En savoir plus sur RR moyen de la nuit est « fondée sur des échantillons de 30 secondes », alors que « l’application affiche la moyenne d’échantillons de fréquence cardiaque agrégés sur 5 minutes » (Oura API). L’entreprise travaille sur des données plus fines que celles de l’application, et, selon cette lecture, une copie complète devrait inclure celles qu’Oura détient encore. Oura ne dit pas combien de temps elle conserve les données par tranches de 30 secondes.

Où se trouvent vos données, et ce qui les atteint

Articles 15 et 20 du RGPD ; une illustration, pas à l’échelle

• ✓ L’atteint
• ~ Selon les cas
• – Ne l’atteint pas

1. Sur l’appareil connecté

   • Mesures en attente de synchronisation

     Une bague ou un bracelet garde les données jusqu’à ce que le téléphone les récupère : jusqu’à 10 jours sur une RingConn Gen 3. Aucune entreprise ne les détient encore.

     • – Bouton d’export
     • – Copie, art. 15
     • – Portabilité, art. 20

2. Se synchronise avec le téléphone

   Sur votre téléphone

   • Données conservées uniquement sur le téléphone

     Apple Santé conserve ses données sur l’iPhone, et chiffrées de bout en bout dans iCloud. Exportez-les depuis le téléphone : une entreprise ne peut copier que ce qu’elle détient.

     • ✓ Bouton d’export
     • ~ Copie, art. 15
     • ~ Portabilité, art. 20

3. Envoi au serveur, si l’app le fait

   Sur les serveurs de l’entreprise

   • Échantillons détaillés

     Ce sur quoi travaille l’entreprise. L’API d’Oura décrit la fréquence cardiaque pendant le sommeil « sur la base d’échantillons de 30 secondes ».

     • ~ Bouton d’export
     • ✓ Copie, art. 15
     • ✓ Portabilité, art. 20

   • Ce que l’app affiche

     Valeurs calculées à partir des échantillons. Oura indique que son app affiche une fréquence cardiaque « agrégée sur 5 minutes ».

     • ~ Bouton d’export
     • ✓ Copie, art. 15
     • ~ Portabilité, art. 20

   • Scores

     Un nombre par jour calculé par l’entreprise : « Score de préparation », « Recovery », un score de sommeil.

     • ~ Bouton d’export
     • ✓ Copie, art. 15
     • – Portabilité, art. 20

Selon les cas : un export contient ce que le fabricant a choisi (celui de WHOOP contient une valeur de VFC par cycle) ; une demande n’atteint les données du téléphone que si l’entreprise les détient ; les valeurs calculées à partir de vos données peuvent sortir du champ de l’article 20. Une copie couvre ce que l’entreprise détient au moment où vous la demandez, pas les données qu’elle a déjà supprimées.

Trois endroits, de haut en bas : sur l’appareil connecté, sur votre téléphone et sur les serveurs de l’entreprise. Les serveurs contiennent trois couches, chacune dessinée avec moins de repères que la précédente. Pour chaque couche, trois voies sont indiquées : le bouton d’export, une copie au titre de l’article 15 et la portabilité au titre de l’article 20. Sur l’appareil connecté, Mesures en attente de synchronisation : Une bague ou un bracelet garde les données jusqu’à ce que le téléphone les récupère : jusqu’à 10 jours sur une RingConn Gen 3. Aucune entreprise ne les détient encore. Bouton d’export : Ne l’atteint pas. Copie : Ne l’atteint pas. Portabilité : Ne l’atteint pas. Sur votre téléphone, Données conservées uniquement sur le téléphone : Apple Santé conserve ses données sur l’iPhone, et chiffrées de bout en bout dans iCloud. Exportez-les depuis le téléphone : une entreprise ne peut copier que ce qu’elle détient. Bouton d’export : L’atteint. Copie : Selon les cas. Portabilité : Selon les cas. Sur les serveurs de l’entreprise, Échantillons détaillés : Ce sur quoi travaille l’entreprise. L’API d’Oura décrit la fréquence cardiaque pendant le sommeil « sur la base d’échantillons de 30 secondes ». Bouton d’export : Selon les cas. Copie : L’atteint. Portabilité : L’atteint. Sur les serveurs de l’entreprise, Ce que l’app affiche : Valeurs calculées à partir des échantillons. Oura indique que son app affiche une fréquence cardiaque « agrégée sur 5 minutes ». Bouton d’export : Selon les cas. Copie : L’atteint. Portabilité : Selon les cas. Sur les serveurs de l’entreprise, Scores : Un nombre par jour calculé par l’entreprise : « Score de préparation », « Recovery », un score de sommeil. Bouton d’export : Selon les cas. Copie : L’atteint. Portabilité : Ne l’atteint pas.

Où l’argument s’arrête

• Aucune affaire sur un appareil connecté pour l’instant. L’affaire C-487/21 portait sur une agence de renseignements commerciaux et la C-307/22 sur un dentiste. Les appliquer à une bague ou à une montre est un argument par analogie, pas une décision, et une entreprise ou une autorité peut voir les choses autrement.
• Seulement les données que l’entreprise détient encore. Une entreprise n’a pas à fournir des données qu’elle n’a plus, par exemple après la fin de sa durée de conservation. Elle ne doit pas supprimer des données pour échapper à une demande (CEPD, points 37 et 39).
• Seulement les données que l’entreprise traite. Si le détail ne se trouve que sur votre téléphone, comme avec Apple Santé, il n’y a rien à copier du côté de l’entreprise. Exportez plutôt ces données depuis le téléphone.
• Les demandes volumineuses. Quand une entreprise détient un grand volume de données sur vous, elle peut vous demander de préciser les informations ou les traitements visés par la demande avant de les remettre (considérant 63 du RGPD). Le CEPD cite les entreprises qui « collectent des données concernant des activités fréquentes de la personne concernée sur une période prolongée » (point 35). Nommer les données et les dates dans la demande évite cet aller-retour.
• Le format. L’article 15 demande une forme électronique d’usage courant ; le CEPD admet que même un PDF peut suffire pour l’accès (point 156). Un fichier lisible par machine relève du droit de l’article 20, qui couvre les données que vous avez fournies, comme « le rythme cardiaque enregistré par un dispositif portable », mais pas les scores que l’entreprise déduit. Pour ces données, quand aucun format n’est d’usage courant dans le secteur, le Groupe de travail « Article 29 » a demandé des formats ouverts tels que XML, JSON et CSV « au meilleur niveau de granularité possible » (WP242).
• Le secret des affaires. Une entreprise peut protéger son algorithme, mais « ces considérations ne devraient pas aboutir à refuser toute communication d’informations à la personne concernée » (considérant 63 du RGPD).
• Hors de l’UE. Le Royaume-Uni limite la recherche à ce qui est raisonnable et proportionné. La Californie couvre par défaut « les éléments précis d’informations personnelles » sur 12 mois, et une entreprise n’a pas à répondre plus de deux fois en 12 mois.

Comment demander une copie

Écrivez à l’adresse indiquée dans la politique de confidentialité de l’entreprise (le schéma ci-dessus les liste pour dix services), ou utilisez son formulaire de confidentialité, et gardez une copie datée de ce que vous envoyez. Le générateur de lettre de demande de données de ce site rassemble ces points dans une lettre.

Ensuite :

1. Notez le délai. Un mois dans l’UE et au Royaume-Uni ; 45 jours en Californie. Il court à partir du jour où l’entreprise reçoit la demande ou, au Royaume-Uni, du jour où elle dispose de ce qu’il lui faut pour confirmer votre identité.
2. Répondez vite aux vérifications d’identité. Une entreprise peut vous demander de confirmer qui vous êtes, et le délai peut être suspendu jusqu’à cette confirmation.
3. Comparez ce que vous recevez à votre liste. S’il manque des types de données ou des dates, écrivez de nouveau en les nommant.
4. Sans réponse à l’expiration du délai, envoyez un rappel qui cite votre première demande et sa date. Ensuite, dans l’UE, adressez une plainte à votre autorité de protection des données ; au Royaume-Uni, à l’entreprise puis à l’ICO, comme l’ICO le recommande ; en Californie, à la California Privacy Protection Agency ou au procureur général.

Ce que vous recevez et comment l’ouvrir

La plupart des entreprises envoient une archive ZIP, par un lien dans un e-mail ou dans leur portail de confidentialité. Téléchargez-la avant l’expiration du lien : les liens d’export de WHOOP expirent au bout de 7 jours (WHOOP Support).

• CSV : un tableau qui s’ouvre dans n’importe quel tableur. Vérifiez les unités : Oura donne les durées en secondes.
• JSON : du texte structuré, lisible dans un éditeur de texte ou un navigateur.
• FIT : le format binaire de Garmin pour les activités et les fichiers quotidiens de bien-être. Les outils du SDK FIT de Garmin comprennent FitCSVTool, « un outil en ligne de commande servant à convertir les fichiers FIT binaires en fichiers texte lisibles » (Garmin Developers). Ces outils sont distribués sous la licence de Garmin « FIT Protocol License ».
• XML : l’export d’Apple Santé. Son fichier principal, export.xml, peut être très volumineux.

La page Exporter ses données de VFC depuis tout appareil explique ce que contient l’export de chaque plateforme, et le convertisseur RR transforme dans votre navigateur un fichier d’intervalles battement à battement en liste simple, sans l’envoyer.

Comment stocker une archive pour qu’elle reste exploitable

1. Gardez l’original intact. Enregistrez l’archive telle qu’elle est arrivée, nommée par date et par service, par exemple 2026-10-22_whoop_export.zip, et ne travaillez que sur des copies.
2. Enregistrez une somme de contrôle à côté de l’archive, par exemple avec shasum -a 256 2026-10-22_whoop_export.zip > 2026-10-22_whoop_export.zip.sha256, et vérifiez-la de temps en temps. Une somme de contrôle montre si un fichier a changé (NDSA, guide sur l’intégrité des fichiers).
3. Gardez une copie de travail dans des formats ouverts. Décompressez l’archive, convertissez les fichiers FIT en CSV, et conservez tels quels les fichiers CSV, JSON et XML.
4. Utilisez un dossier daté par export :

5. Rédigez un README dans chaque dossier : l’appareil et la version de l’application, les unités, la mesure de VFC dont il s’agit (celle de WHOOP est le RMSSD RMSSD RMSSD Racine carrée de la moyenne des carrés des différences successives : mesure de VFC calculée à partir de l’écart entre chaque intervalle entre battements et le suivant, en millisecondes. Elle reflète surtout l’activité vagale. En savoir plus sur RMSSD , celle d’Apple le SDNN SDNN SDNN Écart type de tous les intervalles NN d’un enregistrement, en millisecondes. Il mesure la variabilité globale, et sa valeur dépend fortement de la durée de l’enregistrement. En savoir plus sur SDNN ) et le fuseau horaire (WHOOP Support, Apple Santé). Sans cette note, on ne peut pas comparer les valeurs de services différents.
6. Conservez trois exemplaires, sur deux types de support, dont un hors de chez vous : « Gardez 3 copies de tout fichier important : 1 principale et 2 sauvegardes » (US-CERT, Data Backup Options).
7. Chiffrez les sauvegardes. Ces fichiers sont des données de santé.
8. Exportez à intervalles réguliers de quelques mois, et pas seulement quand vous quittez un service. Les délais de suppression, les fermetures de services et les liens qui expirent ne vous laissent que les copies déjà faites.

Cette page donne des informations générales sur le droit de la protection des données, pas un avis juridique.