Politique de Confidentialité

La présente Politique de Confidentialité explique comment nous collectons, utilisons, partageons et protégeons les données à caractère personnel lorsque vous utilisez l'application mobile Stoop (l'« Application »). Elle est rédigée, dans la mesure du possible, en langage clair et structurée afin de respecter nos obligations au titre du Règlement général sur la protection des données 2016/679 de l'Union européenne (le « RGPD »), du California Consumer Privacy Act tel que modifié par le CPRA (le « CCPA »), ainsi que des directives de revue de l'App Store d'Apple.

1. Qui sommes-nous (responsable du traitement)

Le responsable du traitement des données à caractère personnel effectué par l'intermédiaire de l'Application est :

• Anton Yakymenko, développeur indépendant établi à Valence, Espagne.
• Courriel : [email protected]

Dans la mesure où nous opérons en tant que développeur indépendant en deçà des seuils fixés par l'article 37 du RGPD, nous n'avons pas désigné de délégué à la protection des données (DPO). Pour toute demande relative à la protection des données, veuillez utiliser l'adresse électronique ci-dessus.

2. Catégories de données à caractère personnel traitées

Nous limitons délibérément le traitement des données à caractère personnel à ce qui est strictement nécessaire au fonctionnement principal de l'Application. Les catégories sont les suivantes :

1. Identifiant anonyme de l'appareil. Un UUID généré au premier lancement et stocké dans le trousseau iCloud Keychain de votre appareil. Il n'est associé ni à votre Apple ID, ni à votre nom, courriel, numéro de téléphone, ni à aucun autre identifiant externe à l'Application.
2. Mesures posturales. Valeurs numériques dérivées de la détection de posture corporelle effectuée sur l'appareil par Apple Vision : décalage de la tête vers l'avant en centimètres, angle craniovertébral en degrés, protraction des épaules, asymétrie scapulaire, horizontalité du bassin et score global. Les trames de caméra sous-jacentes sont traitées de façon transitoire en mémoire vive de l'appareil puis immédiatement supprimées.
3. Contenu du journal. Saisies libres et tags prédéfinis que vous renseignez dans la fonctionnalité Journal.
4. Historique des routines et exercices. Routines lancées, exercices réalisés ou sautés, et auto-évaluations de la douleur en fin de session.
5. Préférences de l'Application. Profil corporel, persona de mode de vie, horaires de rappel, activation des indications vocales, surcharge linguistique, mode d'apparence, unités.
6. Métadonnées d'abonnement. Par l'intermédiaire de notre prestataire de gestion d'abonnements (RevenueCat), nous recevons l'identifiant anonyme de l'appareil, le résultat de la validation du reçu App Store et le statut de votre abonnement. Nous n'avons accès ni à votre nom, ni à votre carte de paiement, ni à votre adresse de facturation, ni à aucun autre détail de paiement.
7. Diagnostics techniques. Si vous avez activé Apple Analytics au niveau du système iOS et consenti séparément dans l'Application, des rapports de plantage anonymisés peuvent être transmis à Apple. Apple est le responsable du traitement de ces données ; voir la Politique de confidentialité d'Apple.

3. Finalités du traitement et bases légales (article 6 du RGPD)

Finalité	Base légale
Fournir les fonctionnalités principales de l'Application (scan, routine, journal, historique)	Article 6, paragraphe 1, point b) — exécution du contrat
Générer les commentaires IA, la justification des routines et les analyses de tendances	Article 6, paragraphe 1, point b) — exécution du contrat
Traiter les paiements d'abonnement via l'App Store et RevenueCat	Article 6, paragraphe 1, point b) — exécution du contrat
Appliquer des limites de débit et mettre en cache les réponses IA pour maîtriser les coûts	Article 6, paragraphe 1, point f) — intérêt légitime à exploiter l'Application de manière soutenable
Respecter les obligations légales (par exemple, archives comptables des revenus d'abonnement)	Article 6, paragraphe 1, point c) — obligation légale
Analyses facultatives (uniquement si vous y consentez)	Article 6, paragraphe 1, point a) — consentement (retirable dans les Réglages)

4. Destinataires des données à caractère personnel

Nous partageons les données à caractère personnel uniquement avec les sous-traitants suivants (chacun agissant dans le cadre d'un accord de sous-traitance conforme à l'article 28 du RGPD) :

1. Cloudflare, Inc. — infrastructure de workers recevant vos données de scan, vos entrées de journal et les résumés de routine afin de les transmettre à Anthropic et de stocker temporairement les réponses mises en cache. Politique de confidentialité de Cloudflare.
2. Anthropic PBC — opérateur de l'API Claude utilisée pour générer les commentaires IA, les corrélations de journal, les récits historiques et les debriefs de fin de session. Anthropic traite les données que nous lui transmettons et renvoie la sortie du modèle. Conformément aux conditions commerciales d'Anthropic, les entrées ne sont pas utilisées pour entraîner leurs modèles. Politique de confidentialité d'Anthropic.
3. Apple Inc. — exploitant de l'App Store, de l'infrastructure d'abonnement StoreKit et du canal de distribution de l'Application. Politique de confidentialité d'Apple.
4. RevenueCat, Inc. — infrastructure de gestion d'abonnements qui valide les reçus de l'App Store et expose votre statut d'abonnement à l'Application. Politique de confidentialité de RevenueCat.

Nous ne vendons ni ne louons de données à caractère personnel, et nous ne les partageons pas avec des annonceurs, courtiers en données ou prestataires d'analyse (tels que Google Analytics, Facebook SDK, Mixpanel, AppsFlyer, Adjust, Segment, etc.). L'Application ne contient ni publicité, ni SDK de suivi tiers.

5. Transferts internationaux de données

Cloudflare et Anthropic traitent les données sur des serveurs situés aux États-Unis et dans d'autres juridictions. Lorsque des données à caractère personnel quittent l'Espace économique européen, le transfert repose sur les Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) intégrées à nos contrats avec chaque sous-traitant. L'identifiant anonyme de l'appareil est le seul identifiant transmis ; aucune donnée à caractère personnel directement identifiante n'est envoyée.

6. Durées de conservation

• Données stockées sur l'appareil (scans, entrées de journal, routines, préférences) conservées sur votre appareil jusqu'à leur suppression via Réglages → Confidentialité & Données → Supprimer tous les scans, jusqu'à la désinstallation de l'Application, ou jusqu'à l'effacement de l'appareil.
• Cache des réponses IA sur notre instance Cloudflare KV automatiquement purgé 12 heures après création.
• Compteurs de limitation de débit sur Cloudflare KV automatiquement purgés 24 heures après création.
• Reçus d'abonnement conservés par Apple et RevenueCat selon leurs politiques de conservation respectives et la législation fiscale et de protection des consommateurs applicable (généralement 5 à 7 ans à des fins comptables).

7. Vos droits au titre du RGPD

Si vous résidez dans l'Espace économique européen, au Royaume-Uni ou en Suisse, vous disposez des droits suivants à l'égard de vos données à caractère personnel :

• Droit d'accès (article 15) : obtenir une copie des données à caractère personnel que nous détenons vous concernant.
• Droit de rectification (article 16) : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (article 17, « droit à l'oubli ») : demander la suppression de vos données.
• Droit à la limitation du traitement (article 18) : restreindre la manière dont nous traitons vos données.
• Droit à la portabilité des données (article 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (article 21) : vous opposer à un traitement fondé sur notre intérêt légitime.
• Droit de retirer votre consentement (article 7, paragraphe 3) : lorsque le traitement est fondé sur le consentement, le retirer à tout moment sans remettre en cause la licéité du traitement antérieur.
• Droit d'introduire une réclamation (article 77) auprès de votre autorité de contrôle locale. En Espagne, il s'agit de l'Agencia Española de Protección de Datos (autorité espagnole de protection des données — aepd.es). Vous pouvez également saisir la CNIL (cnil.fr), votre autorité de contrôle française.

Pour exercer l'un de ces droits, écrivez-nous à [email protected]. Nous répondons dans un délai de 30 jours, comme l'exige l'article 12, paragraphe 3 du RGPD. Dans la mesure où nous ne collectons aucune information identifiante au-delà de l'identifiant anonyme de l'appareil, vous devrez nous communiquer cet identifiant (visible dans l'Application sous Réglages → À propos) pour nous permettre de localiser les données vous concernant.

8. Vos droits au titre du CCPA / CPRA (résidents de Californie)

Si vous êtes résident de Californie, vous disposez de droits supplémentaires au titre du CCPA tel que modifié par le CPRA : droit de savoir, droit à la suppression, droit de rectification, droit de refuser la « vente » ou le « partage » d'informations personnelles, et droit de limiter l'utilisation des informations personnelles sensibles. Nous ne vendons ni ne partageons d'informations personnelles au sens où ces termes sont définis par le CCPA, et nous ne collectons pas d'informations personnelles sensibles au-delà de ce qui est nécessaire à la fonctionnalité bien-être de l'Application. Pour exercer vos droits, écrivez-nous à [email protected].

9. Données des enfants

L'Application n'est pas destinée aux enfants de moins de 13 ans et nous ne collectons pas sciemment de données à caractère personnel auprès d'enfants de moins de 13 ans. L'Application est classée 12+ sur l'App Store. Si vous estimez qu'un enfant de moins de 13 ans a utilisé l'Application, veuillez nous contacter à [email protected] et nous supprimerons toute donnée détenue.

10. Sécurité

Les données à caractère personnel en transit entre votre appareil et notre infrastructure sont chiffrées au moyen de TLS 1.3. Les données stockées sur l'appareil sont protégées par le sandboxing iOS et, s'agissant de l'identifiant anonyme de l'appareil, par le stockage sécurisé matériel du Keychain iOS. Nos sous-traitants appliquent des mesures de sécurité conformes aux standards de l'industrie (certification SOC 2 Type II pour Cloudflare et Anthropic ; PCI-DSS pour le traitement des cartes de paiement par Apple). Aucun système n'est parfaitement sûr et nous ne pouvons garantir une sécurité absolue, mais nous appliquons le niveau de diligence attendu d'un développeur indépendant opérant à cette échelle.

11. Cookies, suivi, identifiants publicitaires

L'Application n'utilise pas de cookies (les cookies sont un concept du web). L'Application n'accède pas à votre identifiant publicitaire iOS (IDFA), ne le lit pas et ne le transmet pas. L'Application ne contient aucun SDK publicitaire, aucun pixel de retargeting ni aucune autre technologie de suivi tiers. La permission App Tracking Transparency n'est par conséquent pas sollicitée.

12. Décisions automatisées et profilage

Les commentaires IA, la sélection des routines et les corrélations de journal produites par l'Application impliquent un traitement automatisé de vos données posturales et de vos entrées de journal pour générer du texte descriptif. Ces sorties ne constituent pas des décisions produisant des effets juridiques ou affectant significativement votre personne au sens de l'article 22 du RGPD — il s'agit de suggestions de bien-être qui ne déterminent, par exemple, ni votre accès au crédit, ni à l'emploi, ni aux soins de santé, ni à l'assurance. Vous pouvez désactiver tout traitement par IA via Réglages → Confidentialité → Analyses IA, auquel cas l'Application bascule sur des modèles déterministes exécutés localement.

13. Modifications de la présente politique

Nous pouvons modifier la présente Politique de Confidentialité au fil de l'évolution de l'Application. La date de « dernière mise à jour » en tête de page indique la date d'entrée en vigueur de la version courante. Pour toute modification substantielle élargissant le périmètre des données traitées ou modifiant la base légale du traitement, nous vous en informerons raisonnablement dans l'Application avant son entrée en vigueur (généralement au moyen d'une feuille affichée au premier lancement après la modification).

14. Contact

Pour toute question relative à la présente Politique de Confidentialité ou pour exercer vos droits, veuillez nous contacter à [email protected]. Nous nous efforçons de répondre dans un délai de 5 jours ouvrés, et en tout état de cause dans le délai légal de 30 jours prévu par l'article 12, paragraphe 3 du RGPD.