Politique de confidentialité des données de santé du consommateur

1. Que sont les « données de santé du consommateur »

Aux fins de cette Politique, « données de santé du consommateur » désigne les informations personnelles qui identifient votre état de santé physique ou mentale passé, présent ou futur, y compris les données dérivées ou déduites d’informations non liées à la santé, telles que :

• Mesures corporelles (poids, taille, entrées de composition corporelle)
• Photos de progrès montrant votre corps
• Informations de médication que vous consignez (y compris les analogues du GLP-1 tels que Wegovy, Mounjaro, Ozempic ou Saxenda)
• Calendrier de doses et entrées d’effets secondaires que vous enregistrez
• Journaux d’aliments, d’hydratation et de nutriments
• Entrées d’exercice, d’activité et de sommeil
• Fenêtres de jeûne et d’horaires de repas
• Objectifs et récits de progrès
• Données partagées avec Phaze via Apple HealthKit ou Google Health Connect (si vous l’autorisez)

2. Catégories de données de santé du consommateur que nous collectons

3. Finalités de la collecte et du traitement

Nous ne traitons les données de santé du consommateur que pour :

• Vous fournir le Service (afficher les tableaux de bord, consigner les entrées, synchroniser, graphiques)
• Générer des insights, des résumés et des recommandations personnalisées pour votre usage
• Faire fonctionner les fonctionnalités d’IA (chat Ember, scan de repas) que vous choisissez d’utiliser
• Vous permettre d’exporter vos données (rapports PDF, partage)
• Synchroniser les données entre vos appareils (avec votre autorisation)
• Sauvegarder vos données dans votre cloud personnel si vous activez la Sauvegarde dans le Cloud
• Détecter et prévenir la fraude, les abus et les incidents de sécurité
• Respecter les obligations légales

Nous ne traitons pas les données de santé du consommateur pour : diffuser de la publicité, créer des profils publicitaires, vendre à des tiers, partager avec des courtiers en données, partager avec des assureurs ou des employeurs, ou entraîner des modèles d’IA avec vos données.

4. Ou vos données sont stockées

4.1 Par défaut sur l’appareil

Les données de santé du consommateur sont stockées sur votre appareil par défaut.

• iOS : magasin persistant SwiftData avec iOS Data Protection. Les champs médicaux sensibles (identifiants de médicament, doses, entrées d’effets secondaires, notes sur le site d’injection, profil médical, calendrier de doses) sont en outre chiffrés avec AES-256-GCM à l’aide d’une clé stockée dans l’iOS Keychain.
• Android : base de données Room. Les champs médicaux sensibles sont chiffrés avec AES-256-GCM (clé de 256 bits, IV de 12 octets, tag de 128 bits) à l’aide d’une clé stockée dans l’Android Keystore. Les préférences utilisent EncryptedSharedPreferences de Jetpack Security.

Nous n'exploitons aucun serveur qui stocke vos Données de santé du consommateur. Nous exploitons en revanche un service qui nous est propre, sur Cloudflare. Il relaie les requêtes IA de la section 6 et conserve un petit ensemble d'enregistrements : une ligne de profil facultative (tranche d'âge, année de naissance, sexe biologique, niveau d'activité, objectif de transformation, étape, indicateurs de consentement, ainsi que le pays, la région et la ville que Cloudflare résout depuis la requête), une adresse e-mail dans une table séparée si vous en avez donné une, les retours dans l'app, les votes de la feuille de route publique et une entrée de classement facultative avec votre Score de mode de vie et votre série. Aucun médicament, dose, calendrier, effet secondaire, site d'injection, poids, taille ou IMC n'est jamais écrit dans ces enregistrements. La section 5.4 de notre Politique de confidentialité les décrit en entier.

4.2 Sauvegardes

Le fonctionnement d'une sauvegarde dépend de votre plateforme :

• iOS : Phaze n'envoie plus de sauvegarde qui lui soit propre. Vos données sont prises en charge par la Sauvegarde iPhone d'Apple, que vous réglez dans les Réglages iOS. Un appareil venant d'une ancienne version peut encore contenir une archive dans le conteneur iCloud de Phaze (iCloud.com.zeit.phaze) ; Réglages, Données et Confidentialité, Sauvegarde de l'appareil permet de la restaurer une fois ou de la supprimer.
• Android : La Sauvegarde Cloud est facultative et désactivée par défaut. Une fois activée, une archive chiffrée est écrite dans le dossier AppData de votre propre Google Drive, privé à Phaze, limité à l'application et invisible dans votre Drive général.

L’archive est chiffrée avec AES-256-GCM avant l’envoi.

A propos de la clé de chiffrement. Afin que vous puissiez restaurer la Sauvegarde sur un nouvel appareil sans gérer de phrase secrète distincte, la clé de chiffrement est générée localement et stockée à côté de la charge chiffrée dans le même fichier de Sauvegarde. Cela signifie que la sécurité du fichier de Sauvegarde est liée à la sécurité de votre compte iCloud ou Google, et non à une phrase secrète distincte que vous détenez. Nous ne présentons pas la Sauvegarde dans le Cloud comme accessible par vous seul ni comme inaccessible à notre clé. Si vous avez besoin d’un véritable chiffrement zero-knowledge, n’activez pas la Sauvegarde dans le Cloud. Nous pourrions ajouter une option de phrase secrète utilisateur dans une version future.

Nous ne conservons pas de copie de la Sauvegarde du côté de Phaze en dehors de votre propre compte iCloud ou Google.

4.3 Ce qui quitte effectivement votre appareil

1. Sauvegarde Cloud sur Android, si vous l'activez : vers le dossier AppData de votre propre Google Drive. Sur iOS, l'app n'envoie aucune sauvegarde qui lui soit propre.
2. Fonctions IA : voir la section 6. Ember envoie votre message avec un large enregistrement de contexte tiré de votre propre historique, le scan de repas et l'estimation de composition corporelle envoient des photos, les Insights quotidiens envoient 90 jours de votre journal, et l'import de documents envoie l'image d'analyses ou de DEXA que vous choisissez.
3. Plateformes de santé, si vous les autorisez : Apple HealthKit (iOS) ou Google Health Connect (Android) lisent et écrivent via le cadre système.
4. Analyse et rapports de plantage : voir la section 5. L'analyse produit ne comporte ni valeurs de poids, ni quantités d'eau, ni macros de repas, ni noms d'aliments, ni noms de médicaments, ni quantités de dose. L'enregistrement de session envoie une capture d'écran masquée d'une part échantillonnée des sessions.
5. Exportation de rapport PDF, partage de jalon ou partage de capture d’écran : si vous les déclenchez.

4.4 HealthKit et Health Connect

Phaze lit ces plateformes uniquement avec votre autorisation. Nous ne stockons pas de copie distincte côté serveur des données HealthKit ou Health Connect. Nous n’utilisons pas ces données à des fins publicitaires, de marketing, de vente, d’exploration de données ou d’identification des utilisateurs en dehors de Phaze.

5. Catégories de tiers avec lesquels nous partageons les données de santé du consommateur

Nous ne partageons les données de santé du consommateur qu’avec les catégories de destinataires suivantes, et uniquement dans la mesure nécessaire au fonctionnement du Service :

Nous ne "vendons" pas de Données de santé du consommateur, et nous n'envoyons aucune valeur de médicament, de dose, de poids, d'effet secondaire ni d'autre donnée de santé à une plateforme publicitaire. Nous indiquons en revanche à Meta, et sur Android à TikTok, quand Phaze est installé, ouvert et souscrit, afin de savoir quelle publicité a amené quelqu'un jusqu'ici. Ces événements portent un identifiant que le SDK d'attribution crée et conserve sur votre appareil. Comme Phaze est un suivi de GLP-1, le seul fait que vous l'ayez installé peut déjà suggérer quelque chose sur votre santé : nous n'affirmons donc pas que cela sort du "partage" à des fins de publicité comportementale intercontextuelle. Nous ne pratiquons pas de géorepérage dans un rayon de 600 mètres autour d'un établissement de santé.

Nous exigeons de chaque destinataire qu'il (i) n'agisse que sur nos instructions, (ii) mette en place une sécurité appropriée, (iii) n'utilise pas vos Données de santé du consommateur à ses propres fins au-delà des statistiques agrégées nécessaires à son service, et (iv) honore les demandes de suppression que nous lui transmettons. Le SDK d'attribution Meta est configuré avec la collecte de l'identifiant publicitaire désactivée. Aucun des SDK d'attribution ne reçoit de valeur de santé.

6. Fonctionnalités d’IA : divulgations supplémentaires

Phaze comprend des fonctionnalités pilotées par IA :

• Ember (compagnon de chat IA), achemine via un service edge de Phaze (Cloudflare Workers) vers Google Gemini
• Scan de repas (reconnaissance d’images pour la consignation des repas), achemine via le service edge vers Google Gemini Vision
• Estimation de la composition corporelle à partir d’une photo, acheminée via le service edge vers Gemini Vision
• Description de repas à la voix, transcrite par l’API vocale de la plateforme, puis envoyée à Gemini pour analyse
• Insights quotidiens (offres payantes), qui envoie 90 jours de votre propre journal via le service edge à Gemini et renvoie un court résumé. Ce n'est jamais mis en cache ni journalisé sur nos serveurs, et chaque chiffre est recalculé sur votre appareil.
• Import de documents d'analyses et DEXA, qui envoie l'image du document choisi via le service edge à Gemini après une feuille de confirmation, et vous laisse relire chaque valeur extraite avant l'enregistrement. L'import de données envoie le texte collé de la même façon.

Important au sujet des fonctionnalités d’IA :

• Les réponses de l’IA peuvent être inexactes ou obsolètes. Traitez-les comme purement informatives.
• Nous n'entraînons aucun modèle sur vos données. Nous utilisons l'API Gemini payante de Google, et les conditions de Google pour ce palier indiquent que les prompts et réponses qui y sont envoyés ne servent pas à entraîner les modèles de Google. Notre service edge examine aussi chaque message de chat avant de le transmettre et répond à une question de dose, d'interaction ou de triage par un renvoi vers votre médecin, sans même appeler Gemini. Pour les Insights quotidiens, le service écarte tout insight généré qui se lit comme une affirmation médicale, et votre appareil recalcule chaque chiffre restant contre vos propres données et rejette l'insight si un chiffre ne correspond pas.
• Ember ne fournira pas sciemment de conseil de dosage, d’orientation sur les contre-indications, de triage des effets secondaires ni aucune recommandation clinique. Pour toute question médicale, contactez le professionnel de santé qui vous prescrit votre traitement.
• Les fonctions IA restent désactivées tant que vous n'acceptez pas. La première fois qu'une fonction doit envoyer des données à Gemini, Phaze montre ce qui partira et demande l'autorisation, puis note quelle version de cet avis vous avez acceptée et quand. Réglages, Confidentialité comporte un interrupteur pour les fonctions IA et un bouton Retirer l'autorisation IA. Le retrait arrête toutes les fonctions IA d'un coup et efface les insights déjà générés.

Conformément aux exigences de transparence de l’Article 50 du règlement IA de l’UE, les sorties générées par IA sont étiquetées comme IA dans l’interface, et vous êtes informé lorsque vous interagissez avec un système d’IA. Les réponses d’Ember portent une étiquette « généré par IA » par sortie, et les estimations de scan de repas par IA portent un badge IA.

7. Conservation

8. Vos droits

8.1 Washington (My Health My Data Act)

Vous avez le droit de :

• Confirmer si Phaze traite vos données de santé du consommateur
• Accéder à vos données de santé du consommateur
• Demander la suppression de vos données de santé du consommateur : Phaze supprimera les données dans un délai de 30 jours et demandera à tout prestataire de services ou sous-traitant de faire de même
• Retirer le consentement : vous pouvez retirer votre consentement au traitement ou au partage à tout moment ; le retrait n’affecte pas le traitement licite antérieur
• Faire appel d’un refus de l’un des éléments ci-dessus

Soumettez vos demandes par e-mail à privacy@phaze.fit. Vous pouvez aussi utiliser Réglages, Confidentialité, Tout supprimer, Supprimer toutes les données dans l'app. Cette seule action retire les données de votre appareil, supprime tout fichier de sauvegarde Phaze dans votre iCloud ou Google Drive, annule les rappels programmés, désinscrit votre appareil de l'analyse et des rapports de plantage, et supprime les lignes de profil et de contact décrites en section 4.1. Comme Phaze n'a pas de compte, nous vérifions une demande en rapprochant les éléments que vous nous donnez des enregistrements que nous détenons, par exemple un identifiant d'appareil ou l'adresse e-mail d'une ligne de profil ou de retour. Nous répondons dans les délais légaux, généralement 45 jours, prolongeables une fois.

Si nous refusons une demande, nous expliquerons pourquoi et comment faire appel dans un délai de 45 jours. Si votre appel est refusé, vous pouvez contacter le procureur général de l’État de Washington à https://www.atg.wa.gov/file-complaint.

Geofencing. Phaze n’utilise pas de geofences dans un rayon de 2 000 pieds d’un service ou établissement de santé en personne.

8.2 Nevada (SB 370)

Les résidents du Nevada ont le droit à la confirmation, l’accès, la suppression, le refus de la vente et le refus du partage à des fins de publicité ciblée. Phaze ne vend pas de données de santé du consommateur et ne pratique pas de publicité ciblée. Soumettez vos demandes à privacy@phaze.fit.

8.3 Connecticut, Colorado, Virginie, Texas, Oregon et autres lois étatiques

Les résidents de ces États disposent de droits incluant l’accès, la correction, la suppression, la portabilité, le refus de la vente, le refus de la publicité ciblée et le droit de limiter l’utilisation des données sensibles, y compris les données de santé du consommateur. Phaze ne vend pas et ne pratique pas de publicité ciblée, et ne traite les données sensibles qu’avec votre consentement opt-in. Soumettez vos demandes à privacy@phaze.fit. Les signaux universels de refus (GPC) sont respectés lorsque cela est requis.

8.4 Californie (CCPA / CPRA / CMIA)

Les résidents de Californie disposent de tous les droits décrits à la Section 13.3 de notre Politique de confidentialité, y compris le droit de limiter l’utilisation des informations personnelles sensibles (qui comprennent les données de santé du consommateur). Nous ne traitons vos données de santé du consommateur que dans la mesure nécessaire pour fournir le Service que vous avez demandé.

Aux fins du California Confidentiality of Medical Information Act (CMIA, Cal. Civ. Code sections 56 et suivantes), dans la mesure où Phaze est qualifiée de « fournisseur de soins de santé » au sens de la loi, les informations médicales que vous fournissez sont traitées selon les garanties décrites dans cette Politique et divulguées uniquement selon ce que permet la loi ou avec votre autorisation.

8.5 Brésil (LGPD)

Les résidents brésiliens peuvent exercer les droits prévus à l’Article 18 de la LGPD (confirmation, accès, correction, anonymisation ou suppression, portabilité, information sur le partage, révocation du consentement). Soumettez à privacy@phaze.fit ou à l’Encarregado (Vinicius) à privacy@phaze.fit. ANPD : gov.br/anpd.

8.6 UE / Royaume-Uni / EEE

Les résidents de l’UE et du Royaume-Uni peuvent exercer les droits prévus aux Articles 15 à 22 du GDPR, y compris l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition, le retrait du consentement et le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs similaires.

9. Sécurité

Nous appliquons les mesures de protection suivantes aux données de santé du consommateur :

• Chiffrement au repos : AES-256-GCM pour les champs médicaux sensibles sur l’appareil et pour les archives de Sauvegarde dans le Cloud
• Chiffrement en transit : TLS 1.3
• Stockage des clés de la plateforme : Apple Keychain sur iOS (kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly) ; Android Keystore sur Android (avec support matériel lorsque disponible)
• Nettoyage des rapports de plantage : les fils d’Ariane et les charges d’évènement de Sentry sont nettoyés pour retirer les identifiants de médicament, doses, entrées d’effets secondaires, notes sur le site d’injection et profil médical avant la transmission
• Diligence fournisseur : les sous-traitants sont examinés avant l’engagement et soumis à des conditions de traitement des données
• Contrôles d’accès : accès basé sur les rôles aux outils internes
• Revue de code et tests : revue de code et couverture de tests automatisés avant les versions qui affectent le traitement des données
• Nous ne détenons pas actuellement de certification de sécurité indépendante ni d’attestation d’audit (par exemple, ISO 27001). Nous ne revendiquons pas de certifications que nous ne détenons pas.
• Les événements d'analyse produit et les enregistrements de session sont liés à un identifiant pseudonyme limité à l'appareil, comme indiqué en section 5. Il s'agit d'une pseudonymisation, pas d'une anonymisation, et cela reste soumis aux droits et obligations décrits dans la présente Politique et dans notre Politique de confidentialité.

Aucune méthode de transmission ou de stockage n’est parfaitement sécurisée. Si nous découvrons un incident de sécurité qui compromet la confidentialité de vos données de santé du consommateur, nous vous informerons ainsi que les régulateurs applicables conformément à la FTC Health Breach Notification Rule (16 CFR Part 318) dans un délai de 60 jours suivant la découverte, aux Articles 33 et 34 du GDPR de l’UE (dans un délai de 72 heures pour l’autorité de contrôle), à l’Article 48 de la LGPD et aux lois étatiques américaines applicables sur la notification des violations.

10. Consentement

Phaze n'a pas de compte. La première fois qu'une fonction doit traiter des Données de santé du consommateur hors de votre appareil, nous demandons le consentement dans l'app, montrons ce qui partira et notons quelle version de cet avis vous avez acceptée et quand. Vous pouvez retirer votre consentement à tout moment :

• Désactiver la fonction dans Réglages, Confidentialité : l'interrupteur des fonctions IA, le bouton Retirer l'autorisation IA, l'interrupteur d'analyse ou celui du partage de profil
• En supprimant les données concernées
• Utiliser Réglages, Confidentialité, Tout supprimer, Supprimer toutes les données
• En écrivant à privacy@phaze.fit pour retirer votre consentement à tout traitement spécifique

Le retrait n’affecte pas le traitement licite antérieur.

Pour la vente ou le partage de données de santé du consommateur, nous obtenons une autorisation valide distincte et signée avant toute activité de ce type. Nous ne vendons ni ne partageons actuellement de données de santé du consommateur, donc aucune autorisation de ce type n’est demandée.

11. Enfants

Le Service est destiné aux adultes de 18 ans ou plus. Nous ne collectons pas sciemment de données de santé du consommateur auprès de personnes de moins de 18 ans. Si nous apprenons que nous avons collecté des données auprès d’une personne de moins de 18 ans, nous les supprimons rapidement.

12. Modifications de cette Politique

Nous publierons ici les modifications importantes avec une nouvelle date de « Dernière mise à jour » et vous informerons dans l’application ou par e-mail au moins 30 jours avant leur entrée en vigueur, sauf si un délai plus court est exigé par la loi.

13. Contact