AMRAP20 — Privacy Policy

Last updated: August 29, 2026 · Version française ci-dessous · Terms of use

Who we are

AMRAP20 is published by Sylvain Mestre (sole proprietorship registration in progress, France), who is the data controller for the processing described here. Contact for anything privacy-related: contact@amrap20.app.

AMRAP20 is not aimed at children: the online features (anonymous account, rankings) are for people aged 15 or over.

Camera and video

The app uses your camera to count pull-ups, push-ups and squats. All processing runs on your device (MediaPipe Pose, bundled with the app). No video, no image and no body-tracking data is ever uploaded anywhere. If you enable the optional workout timelapse, the clip is encoded and saved on your device only, and is shared only if and where you decide to share it.

Data stored on your device

• Your workout history, streaks, settings and language choice (browser local storage).
• If you connect Strava: the access tokens needed to publish your workouts. They stay on your device and can be removed by disconnecting Strava.

This local storage is strictly necessary for the app to work, which is why no consent banner is shown — and there are no cookies or trackers from anyone else.

Data stored on our servers

When the online leaderboard is available, an anonymous account is created — no e-mail, no password, no name. It consists of:

• a random account identifier (UUID);
• the nickname you choose (visible to people who follow your friend code);
• a random friend code you can give to friends;
• your workout results: date, rounds, total reps, chosen duration, actual elapsed time, whether the workout was counted manually, and whether it was a 1-minute test;
• the list of people you follow (their account identifiers), so that the friend leaderboard can work;
• if you subscribe to AMRAP20 PRO: which plan you have, when it expires, and where it came from (App Store, Google Play, or granted by us).

This data is hosted by Supabase, our database provider, in the European Union (eu-west-1, Ireland). Access rules are enforced server-side: your scores are visible only to you and to people you have chosen to follow, and profile data is not publicly listable.

If you report a nickname, the report e-mail contains the reported nickname and your own account identifier — without it, a report cannot be acted on. Reports are used only for moderation.

What we do not do

• No advertising, no ad identifiers.
• No third-party analytics or tracking scripts.
• No sale or sharing of personal data with third parties.

Legal bases

• Performance of a contract (GDPR art. 6.1.b) — the anonymous account, your scores, the rankings, the free-workout counter and your subscription status: all of it exists to provide the service you are using.
• Consent (art. 6.1.a) — the Strava connection. You give it by connecting your account; you withdraw it at any time by disconnecting.
• Legitimate interest (art. 6.1.f) — handling nickname reports and removing impossible scores, to keep the rankings safe and honest.

No decision producing legal effects about you is ever made automatically (art. 22).

Where the data lives — transfers outside the EU

Our processors are Supabase (database), Cloudflare (hosting of the website and app, and routing of our contact e-mail) and Apple (iCloud, the mailbox behind our contact address). None of them uses your data for its own purposes.

• The database runs in the EU (Ireland). Supabase, Inc. and Cloudflare, Inc. are US companies: where support or operations involve access from outside the EU, it is governed by the European Commission's standard contractual clauses included in their data-processing agreements.
• If you connect Strava, the workouts you choose to publish are sent to Strava, Inc. (United States) at your request.
• E-mail you send to our contact address is routed by Cloudflare and delivered to a mailbox hosted by Apple (iCloud); both may process it outside the EU.

Purchases

Purchases go through the App Store or Google Play. We never see your payment details — no card number, no billing address, no receipt. The store tells us only which plan is active and until when, and we store that against your anonymous account so the app knows what to unlock. There is no advertising and no advertising identifier anywhere in the app. See the terms of use for renewal and cancellation.

Strava (optional)

If you connect your Strava account, the app publishes a workout to your Strava profile only when you tap the button. The exchange of authorization codes goes through our server-side function so that no application secret is exposed; we do not read your Strava data and we store no Strava data on our servers.

Retention

• Server data: kept as long as your account exists — you decide when it goes, and deletion (below) is immediate and permanent. We may also delete anonymous accounts left inactive for more than 24 months.
• Nickname reports received by e-mail: kept while they are handled, at most 12 months.
• Local data: on your device until you delete it or uninstall the app; Strava tokens until you disconnect Strava.

Deleting your account and data

🇫🇷 En français : supprimer ton compte et tes données

In the app: Profile → Delete my account. This permanently deletes your anonymous account and everything attached to it on our servers — profile, nickname, friend code, follows and all workout results — and clears the app's local data. If Strava is connected, the app also asks Strava to revoke its authorization. This cannot be undone.

You can also request deletion by e-mail at contact@amrap20.app (mention your nickname and friend code so we can find the account, since it is anonymous).

Your rights (GDPR)

You can access, correct (the nickname is editable in the app), export or delete your data, object to or ask to restrict processing, and withdraw consent at any time (for Strava: disconnect it), by using the app or writing to the address above. Under French law, you may also leave instructions on what should happen to your data after your death. You may lodge a complaint with your supervisory authority (in France, the CNIL).

Changes

If this policy changes materially, the date at the top is updated. The app always links to this page: the published version is the one in force.

AMRAP20 — Politique de confidentialité

Dernière mise à jour : 29 août 2026 · English version above · Conditions d'utilisation

Qui sommes-nous

AMRAP20 est édité par Sylvain Mestre (micro-entreprise en cours d'immatriculation, France), responsable de traitement pour les traitements décrits ici. Contact pour toute question liée aux données : contact@amrap20.app.

AMRAP20 ne s'adresse pas aux enfants : les fonctions en ligne (compte anonyme, classements) sont réservées aux personnes d'au moins 15 ans.

Caméra et vidéo

L'app utilise la caméra pour compter tractions, pompes et squats. Tout le traitement s'exécute sur ton appareil (MediaPipe Pose, embarqué dans l'app). Aucune vidéo, aucune image, aucune donnée de posture n'est envoyée où que ce soit. Si tu actives le timelapse de séance, le clip est encodé et enregistré sur ton appareil uniquement, et n'est partagé que si tu décides de le partager.

Données stockées sur ton appareil

• Ton historique de séances, tes streaks, tes réglages et ta langue (stockage local du navigateur).
• Si tu connectes Strava : les jetons d'accès nécessaires à la publication. Ils restent sur l'appareil et disparaissent en déconnectant Strava.

Ce stockage local est strictement nécessaire au fonctionnement de l'app — c'est pourquoi aucun bandeau de consentement ne s'affiche — et il n'y a aucun cookie ni traceur de qui que ce soit d'autre.

Données stockées sur nos serveurs

Quand le classement en ligne est disponible, un compte anonyme est créé — sans e-mail, sans mot de passe, sans nom. Il contient :

• un identifiant de compte aléatoire (UUID) ;
• le pseudo que tu choisis (visible des personnes qui suivent ton code ami) ;
• un code ami aléatoire à donner à tes amis ;
• tes résultats de séance : date, tours, répétitions totales, durée choisie, durée réellement écoulée, si la séance a été comptée à la main, et s'il s'agissait d'une séance test d'une minute ;
• la liste des personnes que tu suis (leur identifiant de compte), pour faire fonctionner le classement entre amis ;
• si tu t'abonnes à AMRAP20 PRO : la formule dont tu disposes, sa date d'échéance et sa provenance (App Store, Google Play, ou offerte par nous).

Ces données sont hébergées chez Supabase, notre prestataire de base de données, dans l'Union européenne (eu-west-1, Irlande). Les règles d'accès sont appliquées côté serveur : tes scores ne sont visibles que de toi et des personnes que tu as choisi de suivre, et les profils ne sont pas listables publiquement.

Si tu signales un pseudo, l'e-mail de signalement contient le pseudo signalé et l'identifiant de ton propre compte — sans lui, un signalement ne peut pas être traité. Les signalements ne servent qu'à la modération.

Ce que nous ne faisons pas

• Pas de publicité, pas d'identifiants publicitaires.
• Pas d'outils d'analyse ni de scripts de suivi tiers.
• Pas de vente ni de partage de données personnelles avec des tiers.

Bases légales

• Exécution du contrat (RGPD art. 6.1.b) — le compte anonyme, tes scores, les classements, le compteur de séances offertes et l'état de ton abonnement : tout cela existe pour fournir le service que tu utilises.
• Consentement (art. 6.1.a) — la connexion Strava. Tu le donnes en connectant ton compte ; tu le retires à tout moment en le déconnectant.
• Intérêt légitime (art. 6.1.f) — traiter les signalements de pseudo et retirer les scores impossibles, pour garder des classements sûrs et honnêtes.

Aucune décision produisant des effets juridiques à ton égard n'est prise de façon automatisée (art. 22).

Où vivent les données — transferts hors UE

Nos sous-traitants sont Supabase (base de données), Cloudflare (hébergement du site et de l'app, et acheminement de l'e-mail de contact) et Apple (iCloud, la boîte derrière notre adresse de contact). Aucun n'utilise tes données pour son propre compte.

• La base de données tourne dans l'UE (Irlande). Supabase, Inc. et Cloudflare, Inc. sont des sociétés américaines : lorsqu'un accès depuis l'extérieur de l'UE a lieu (support, opérations), il est encadré par les clauses contractuelles types de la Commission européenne intégrées à leurs accords de traitement des données.
• Si tu connectes Strava, les séances que tu choisis de publier sont envoyées à Strava, Inc. (États-Unis), à ta demande.
• Un e-mail envoyé à notre adresse de contact est acheminé par Cloudflare et livré dans une boîte hébergée par Apple (iCloud) — l'un comme l'autre peuvent le traiter hors UE.

Achats

Les achats passent par l'App Store ou Google Play. Nous ne voyons jamais tes coordonnées bancaires — ni numéro de carte, ni adresse de facturation, ni reçu. Le magasin nous indique seulement quelle formule est active et jusqu'à quand, et nous l'enregistrons en face de ton compte anonyme pour que l'app sache quoi débloquer. Il n'y a aucune publicité ni aucun identifiant publicitaire dans l'app. Voir les conditions d'utilisation pour la reconduction et la résiliation.

Strava (optionnel)

Si tu connectes ton compte Strava, l'app publie une séance sur ton profil Strava uniquement quand tu appuies sur le bouton. L'échange des codes d'autorisation passe par notre fonction côté serveur pour ne pas exposer de secret d'application ; nous ne lisons pas tes données Strava et n'en stockons aucune.

Durée de conservation

• Données serveur : conservées tant que ton compte existe — c'est toi qui décides quand il disparaît, et la suppression (ci-dessous) est immédiate et définitive. Nous pouvons aussi supprimer les comptes anonymes restés inactifs plus de 24 mois.
• Signalements de pseudo reçus par e-mail : conservés le temps de leur traitement, au plus 12 mois.
• Données locales : sur ton appareil jusqu'à leur effacement ou la désinstallation de l'app ; jetons Strava jusqu'à la déconnexion de Strava.

Supprimer ton compte et tes données

Dans l'app : Profil → Supprimer mon compte. Cette action supprime définitivement ton compte anonyme et tout ce qui s'y rattache sur nos serveurs — profil, pseudo, code ami, suivis et tous les résultats de séance — et efface les données locales de l'app. Si Strava est connecté, l'app demande aussi à Strava de révoquer son autorisation. C'est irréversible.

Tu peux aussi demander la suppression par e-mail à contact@amrap20.app (indique ton pseudo et ton code ami pour qu'on retrouve le compte, puisqu'il est anonyme).

Tes droits (RGPD)

Tu peux accéder à tes données, les corriger (le pseudo se modifie dans l'app), les exporter ou les supprimer, t'opposer à leur traitement ou en demander la limitation, et retirer ton consentement à tout moment (pour Strava : en le déconnectant), via l'app ou en écrivant à l'adresse ci-dessus. Tu peux aussi définir des directives sur le sort de tes données après ton décès (loi Informatique et Libertés), et saisir la CNIL.

Évolutions

Si cette politique change de façon substantielle, la date en tête de page est mise à jour. L'app pointe en permanence vers cette page : la version publiée fait foi.