Politique de confidentialité des données de santé du consommateur

Cette Politique de confidentialité des données de santé du consommateur explique comment Zeit Capital Ltda (« Phaze », « nous » ou « notre ») collecte, utilise, partage et protégé les « données de santé du consommateur » des utilisateurs de l'application mobile Phaze, du compagnon Apple Watch et du site web phaze.fit (le « Service »).

Cette Politique est fournie en complément de notre Politique de confidentialité et de nos Conditions d'utilisation, et visé à satisfaire aux exigences du Washington My Health My Data Act (RCW 19.373), de la Nevada Consumer Health Data Privacy Law (SB 370), du Connecticut Data Privacy Act tel que modifié pour les données de santé du consommateur, du California Confidentiality of Médical Information Act (CMIA) le cas échéant, et de lois étatiques similaires sur les données de santé du consommateur.

Si vous êtes résident de l'un de ces États, vous disposez de droits spécifiques résumés à la Section 8.

1. Que sont les « données de santé du consommateur »

Aux fins de cette Politique, « données de santé du consommateur » désigné les informations personnelles qui identifient votre état de santé physique ou mentale passe, présent ou futur, y compris les données dérivées ou déduites d'informations non liées à la santé, telles que :

• Mesures corporelles (poids, taille, entrées de composition corporelle)
• Photos de progrès montrant votre corps
• Informations de médication que vous consignez (y compris les médicaments GLP-1 tels que Wegovy, Ozempic, Mounjaro, Zepbound ou Saxenda)
• Calendrier de doses et entrées d'effets secondaires que vous enregistrez
• Journaux d'aliments, d'hydratation et de nutriments
• Entrées d'exercice, d'activité et de sommeil
• Fenêtres de jeûne et d'horaires de repas
• Objectifs et récits de progrès
• Données partagées avec Phaze via Apple HealthKit ou Google Health Connect (si vous l'autorisez)

2. Catégories de données de santé du consommateur que nous collectons

3. Finalités de la collecte et du traitement

Nous ne traitons les données de santé du consommateur que pour :

• Vous fournir le Service (afficher les tableaux de bord, consigner les entrées, synchroniser, graphiques)
• Générer des insights, des résumés et des recommandations personnalisées pour votre usage
• Faire fonctionner les fonctionnalités d'IA (chat Ember, scan de repas) que vous choisissez d'utiliser
• Vous permettre d'exporter vos données (rapports PDF, partage)
• Synchroniser les données entre vos appareils (avec votre autorisation)
• Sauvegarder vos données dans votre cloud personnel si vous activez la Sauvegarde dans le Cloud
• Détecter et prévenir la fraude, les abus et les incidents de sécurité
• Respecter les obligations légales

Nous ne traitons pas les données de santé du consommateur pour : diffuser de la publicité, creer des profils publicitaires, vendre à des tiers, partager avec des courtiers en données, partager avec des assureurs ou des employeurs, ou entraîner des modèles d'IA avec vos données.

4. Ou vos données sont stockées

4.1 Par défaut sur l'appareil

Les données de santé du consommateur sont stockées sur votre appareil par défaut.

• iOS : magasin persistant SwiftData avec iOS Data Protection. Les champs médicaux sensibles (identifiants de médicament, doses, entrées d'effets secondaires, notes sur le site d'injection, profil médical, calendrier de doses) sont en outre chiffrés avec AES-256-GCM à l'aide d'une clé stockée dans l'iOS Keychain.
• Android : base de données Room. Les champs médicaux sensibles sont chiffrés avec AES-256-GCM (clé de 256 bits, IV de 12 octets, tag de 128 bits) à l'aide d'une clé stockée dans l'Android Keystore. Les préférences utilisent EncryptedSharedPreferences de Jetpack Security.

Nous n'exploitons pas de serveur de première partie qui stocke vos données de santé du consommateur.

4.2 Sauvegarde dans le Cloud (facultative, désactivée par défaut)

Si vous activez la Sauvegarde dans le Cloud, une archive chiffrée est écrite dans votre compte cloud personnel :

• iOS : dans votre iCloud Drive, à l'intérieur du conteneur d'ubiquité de Phaze (iCloud.com.zeit.phaze).
• Android : dans le dossier AppData de votre compte Google Drive (privé pour Phaze, limite à l'application, non visible dans l'interface générale de Drive).

L'archive est chiffrée avec AES-256-GCM avant l'envoi.

A propos de la clé de chiffrement. Afin que vous puissiez restaurer la Sauvegarde sur un nouvel appareil sans gérer de phrase secrète distincte, la clé de chiffrement est générée localement et stockée à côté de la charge chiffrée dans le même fichier de Sauvegarde. Cela signifie que la sécurité du fichier de Sauvegarde est liée à la sécurité de votre compte iCloud ou Google, et non à une phrase secrète distincte que vous détenez. Nous ne présentons pas la Sauvegarde dans le Cloud comme accessible par vous seul ni comme inaccessible à notre clé. Si vous avez besoin d'un véritable chiffrement zero-knowledge, n'activez pas la Sauvegarde dans le Cloud. Nous pourrions ajouter une option de phrase secrète utilisateur dans une version future.

Nous ne conservons pas de copie de la Sauvegarde du côté de Phaze en dehors de votre propre compte iCloud ou Google.

4.3 Ce qui quitte effectivement votre appareil

1. Sauvegarde dans le Cloud, si activée : vers votre propre iCloud ou Google Drive AppData.
2. Fonctionnalités d'IA : voir la Section 6. Le chat Ember envoie des champs de contexte (y compris la plage de poids et les totaux du jour) ; le scan de repas envoie des photos de repas.
3. Plateformes de santé, si vous les autorisez : Apple HealthKit (iOS) ou Google Health Connect (Android) lisent et écrivent via le cadre système.
4. Analytique et rapports de plantage : voir la Section 5. Certains transmettent actuellement des champs cliniques spécifiques à Mixpanel en attendant le travail de nettoyage.
5. Exportation de rapport PDF, partage de jalon ou partage de capture d'écran : si vous les déclenchez.

4.4 HealthKit et Health Connect

Phaze lit ces plateformes uniquement avec votre autorisation. Nous ne stockons pas de copie distincte côté serveur des données HealthKit ou Health Connect. Nous n'utilisons pas ces données à des fins publicitaires, de marketing, de vente, d'exploration de données ou d'identification des utilisateurs en dehors de Phaze.

5. Catégories de tiers avec lesquels nous partageons les données de santé du consommateur

Nous ne partageons les données de santé du consommateur qu'avec les catégories de destinataires suivantes, et uniquement dans la mesure nécessaire au fonctionnement du Service :

Nous ne « vendons » pas les données de santé du consommateur. Nous ne « partageons » pas les données de santé du consommateur à des fins de publicité comportementale inter-contextes. Nous ne pratiquons pas de geofencing dans un rayon de 2 000 pieds d'un établissement de santé.

Nous exigeons de chaque destinataire qu'il (i) agisse uniquement selon nos instructions, (ii) mette en œuvre une sécurité appropriée, (iii) n'utilise pas vos données de santé du consommateur à ses propres fins autres que des statistiques agrégées nécessaires à son service et (iv) honore les demandes de suppression transmises par nous. Pour les SDK d'attribution Meta et TikTok en particulier, nous les configurons pour fonctionner en mode d'attribution agrégée (sans reciblage personnalise).

6. Fonctionnalités d'IA : divulgations supplémentaires

Phaze comprend des fonctionnalités pilotées par IA :

• Ember (compagnon de chat IA), achemine via un service edge de Phaze (Cloudflare Workers) vers Google Gemini
• Scan de repas (reconnaissance d'images pour la consignation des repas), achemine via le service edge vers Google Gemini Vision
• Estimation de la composition corporelle à partir d'une photo, acheminée via le service edge vers Gemini Vision
• Description de repas à la voix, transcrite par l'API vocale de la plateforme, puis envoyée à Gemini pour analyse

Important au sujet des fonctionnalités d'IA :

• Les réponses de l'IA peuvent être inexactes ou obsolètes. Traitez-les comme purement informatives.
• Nous demandons à Google, via l'API Gemini, de ne pas utiliser vos saisies pour entraîner ses modèles. Le service edge Cloudflare Workers applique une rédaction de sortie pour retirer les suggestions de changement de dose, les suggestions d'arrêt du médicament, les schemas de recommandation de dose et les références aux noms de marque du GLP-1 dans les réponses de Gemini avant qu'elles n'atteignent l'application. Nous développons également un classificateur de refus côté serveur pour bloquer, au niveau de la couche edge, les questions sur le dosage, les contre-indications et le triage des symptômes ; en attendant qu'il soit disponible, les consignes de sécurité sont appliquées uniquement par le system prompt de Gemini lui-même.
• Ember ne fournira pas sciemment de conseil de dosage, d'orientation sur les contre-indications, de triage des effets secondaires ni aucune recommandation clinique. Pour toute question médicale, contactez le professionnel de santé qui vous prescrit votre traitement.
• Les fonctionnalités d'IA peuvent être désactivées dans Réglages, Confidentialité. Les boutons dans l'application font l'objet de travaux d'ingénierie en cours.

Conformément aux exigences de transparence de l'Article 50 du règlement IA de l'UE, les sorties générées par IA sont étiquetées comme IA dans l'interface, et vous êtes informé lorsque vous interagissez avec un système d'IA. Les réponses d'Ember portent une étiquette « généré par IA » par sortie, et les estimations de scan de repas par IA portent un badge IA.

7. Conservation

8. Vos droits

8.1 Washington (My Health My Data Act)

Vous avez le droit de :

• Confirmer si Phaze traité vos données de santé du consommateur
• Accéder à vos données de santé du consommateur
• Demander la suppression de vos données de santé du consommateur : Phaze supprimera les données dans un délai de 30 jours et demandera à tout prestataire de services ou sous-traitant de faire de même
• Retirer le consentement : vous pouvez retirer votre consentement au traitement ou au partage à tout moment ; le retrait n'affecte pas le traitement licite antérieur
• Faire appel d'un refus de l'un des éléments ci-dessus

Soumettez vos demandes par e-mail à privacy@phaze.fit. Vous pouvez également soumettre une demande « Supprimer toutes les données » dans l'application aujourd'hui via Réglages, Confidentialité, Tout supprimer, ce qui supprime vos données sur l'appareil. Pour supprimer également un fichier de Sauvegarde dans le Cloud, désactivez la Sauvegarde dans le Cloud dans Réglages et supprimez le fichier de votre compte iCloud ou Google Drive. Nous vérifierons votre identité (généralement en la comparant à l'e-mail de votre compte) et répondrons dans les délais exigés par la loi (45 jours, prolongeable une fois).

Si nous refusons une demande, nous expliquerons pourquoi et comment faire appel dans un délai de 45 jours. Si votre appel est refuse, vous pouvez contacter le procureur général de l'État de Washington à https://www.atg.wa.gov/file-complaint.

Geofencing. Phaze n'utilise pas de geofences dans un rayon de 2 000 pieds d'un service ou établissement de santé en personne.

8.2 Nevada (SB 370)

Les résidents du Nevada ont le droit à la confirmation, l'accès, la suppression, le refus de la vente et le refus du partage à des fins de publicité ciblée. Phaze ne vend pas de données de santé du consommateur et ne pratique pas de publicité ciblée. Soumettez vos demandes à privacy@phaze.fit.

8.3 Connecticut, Colorado, Virginie, Texas, Oregon et autres lois étatiques

Les résidents de ces États disposent de droits incluant l'accès, la correction, la suppression, la portabilité, le refus de la vente, le refus de la publicité ciblée et le droit de limiter l'utilisation des données sensibles, y compris les données de santé du consommateur. Phaze ne vend pas et ne pratique pas de publicité ciblée, et ne traité les données sensibles qu'avec votre consentement opt-in. Soumettez vos demandes à privacy@phaze.fit. Les signaux universels de refus (GPC) sont respectés lorsque cela est requis.

8.4 Californie (CCPA / CPRA / CMIA)

Les résidents de Californie disposent de tous les droits décrits à la Section 13.3 de notre Politique de confidentialité, y compris le droit de limiter l'utilisation des informations personnelles sensibles (qui comprennent les données de santé du consommateur). Nous ne traitons vos données de santé du consommateur que dans la mesure nécessaire pour fournir le Service que vous avez demande.

Aux fins du California Confidentiality of Médical Information Act (CMIA, Cal. Civ. Code sections 56 et suivantes), dans la mesure ou Phaze est qualifiée de « fournisseur de soins de santé » au sens de la loi, les informations médicales que vous fournissez sont traitées selon les garanties décrites dans cette Politique et divulguées uniquement selon ce que permet la loi ou avec votre autorisation.

8.5 Brésil (LGPD)

Les résidents brésiliens peuvent exercer les droits prévus à l'Article 18 de la LGPD (confirmation, accès, correction, anonymisation ou suppression, portabilité, information sur le partage, révocation du consentement). Soumettez à privacy@phaze.fit ou à l'Encarregado (Vinicius) à privacy@phaze.fit. ANPD : gov.br/anpd.

8.6 UE / Royaume-Uni / EEE

Les résidents de l'UE et du Royaume-Uni peuvent exercer les droits prévus aux Articles 15 à 22 du GDPR, y compris l'accès, la rectification, l'effacement, la limitation, la portabilité, l'opposition, le retrait du consentement et le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatise produisant des effets juridiques ou significatifs similaires.

9. Sécurité

Nous appliquons les mesures de protection suivantes aux données de santé du consommateur :

• Chiffrement au repos : AES-256-GCM pour les champs médicaux sensibles sur l'appareil et pour les archives de Sauvegarde dans le Cloud
• Chiffrement en transit : TLS 1.3
• Stockage des clés de la plateforme : Apple Keychain sur iOS (kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly) ; Android Keystore sur Android (avec support matériel lorsque disponible)
• Nettoyage des rapports de plantage : les fils d'Ariane et les charges d'évènement de Sentry sont nettoyés pour retirer les identifiants de médicament, doses, entrées d'effets secondaires, notes sur le site d'injection et profil médical avant la transmission
• Diligence fournisseur : les sous-traitants sont examines avant l'engagement et soumis à des conditions de traitement des données
• Contrôles d'accès : accès base sur les roles aux outils internes
• Revue de code et tests : revue de code et couverture de tests automatisés avant les versions qui affectent le traitement des données
• Nous ne détenons pas actuellement de certification de sécurité indépendante ni d'attestation d'audit (par exemple, ISO 27001). Nous ne revendiquons pas de certifications que nous ne détenons pas.
• Les évènements d'analytique produit transmettent des champs cliniques spécifiques à Mixpanel sous un identifiant pseudonyme limite à l'appareil, comme divulgué à la Section 5. Il s'agit de pseudonymisation, non d'anonymisation, et cela reste soumis aux droits et obligations décrits dans cette Politique et dans notre Politique de confidentialité.

Aucune méthode de transmission ou de stockage n'est parfaitement sécurisée. Si nous découvrons un incident de sécurité qui compromet la confidentialité de vos données de santé du consommateur, nous vous informerons ainsi que les régulateurs applicables conformément à la FTC Health Breach Notification Rule (16 CFR Part 318) dans un délai de 60 jours suivant la découverte, aux Articles 33 et 34 du GDPR de l'UE (dans un délai de 72 heures pour l'autorité de contrôle), à l'Article 48 de la LGPD et aux lois étatiques américaines applicables sur la notification des violations.

10. Consentement

Lorsque vous creez un compte et activez des fonctionnalités qui traitent des données de santé du consommateur, nous obtenons votre consentement dans les écrans d'intégration pertinents et dans les réglages du produit. Vous pouvez retirer votre consentement à tout moment :

• En désactivant la fonctionnalité concernée (par exemple, Sauvegarde dans le Cloud, Ember, scan de repas) dans Réglages
• En supprimant les données concernées
• En supprimant votre compte depuis Réglages, Compte, Supprimer le compte
• En écrivant à privacy@phaze.fit pour retirer votre consentement à tout traitement spécifique

Le retrait n'affecte pas le traitement licite antérieur.

Pour la vente ou le partage de données de santé du consommateur, nous obtenons une autorisation valide distincte et signée avant toute activité de ce type. Nous ne vendons ni ne partageons actuellement de données de santé du consommateur, donc aucune autorisation de ce type n'est demandée.

11. Enfants

Le Service est destiné aux adultes de 18 ans ou plus. Nous ne collectons pas sciemment de données de santé du consommateur aupres de personnes de moins de 18 ans. Si nous apprenons que nous avons collecte des données aupres d'une personne de moins de 18 ans, nous les supprimons rapidement.

12. Modifications de cette Politique

Nous publierons ici les modifications importantes avec une nouvelle date de « Dernière mise à jour » et vous informerons dans l'application ou par e-mail au moins 30 jours avant leur entrée en vigueur, sauf si un délai plus court est exigé par la loi.

13. Contact