Protocole est conçue en « privacy by design ». Toutes tes données de santé et de suivi — repas, calories, poids, mensurations, séances d'entraînement, objectifs — sont stockées uniquement sur ton appareil. Nous ne les stockons jamais sur nos serveurs, nous ne pouvons pas les consulter, et elles disparaissent si tu désinstalles l'application (seules les fonctions IA en transmettent ponctuellement le strict nécessaire, sans conservation — détail en section 2). L'application ne demande pas de compte : pas d'email, pas de mot de passe, pas d'identité.
Certaines fonctions envoient ponctuellement des données à notre serveur (Cloudflare Workers) pour être traitées par une IA, puis la réponse revient sur ton téléphone :
Ces traitements passent par nos sous-traitants techniques : Cloudflare (hébergement du serveur, IA de transcription et d'images) et Anthropic (analyse et génération de texte). Aucune de ces données n'est utilisée à des fins publicitaires, d'entraînement de modèles ni revendue.
Les informations de santé relèvent de l'article 9 du RGPD (« catégories particulières ») : nous ne les traitons qu'avec ton consentement explicite, dans le seul but de personnaliser tes contenus, avec une minimisation stricte (aucune identité jointe) et aucune conservation — ni sur nos serveurs, ni chez nos sous-traitants.
Le traitement par l'IA décrit ci-dessus implique un transfert du contenu envoyé (photo de repas, extrait vocal, texte du Coach, profil sportif anonyme) vers des sous-traitants situés aux États-Unis : Anthropic PBC (analyse et génération de texte) et l'infrastructure de Cloudflare, Inc. (dont Workers AI pour la transcription). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (art. 46.2.c du RGPD) figurant dans les accords de traitement (DPA) conclus avec ces prestataires. Le contenu est traité à la volée et jamais conservé ; il est transmis sans ton identité (ni nom, ni email, ni code personnel), ce qui limite fortement la portée du transfert. Aucune de ces données ne sert à entraîner des modèles.
Pour empêcher l'usage abusif des fonctions IA et des formulaires (par exemple des envois massifs automatisés), nous comptons le nombre de requêtes par appareil. Nous ne conservons pas ton adresse IP en clair : elle est immédiatement transformée en une empreinte non réversible (hachage SHA-256 tronqué) qui sert uniquement de clé de comptage. Cette empreinte et les compteurs associés sont effacés automatiquement chaque jour ; leur durée de conservation ne dépasse pas 48 heures. Base légale : notre intérêt légitime à protéger le service (art. 6.1.f du RGPD).
Si tu actives Connect, notre serveur stocke le minimum : un pseudo choisi, un avatar (emoji ou photo de profil, modérée par IA), tes présences (« séance validée » datée), tes liens d'amitié et défis, et ce que tu publies volontairement (posts, photos, vidéos — modérés par IA avant publication). Optionnel et déclaratif : identité sportive (sport, niveau, objectif, ville, année). Si tu acceptes les notifications, un jeton de notification push (identifiant technique fourni par Apple/Google via Expo) est stocké pour t'envoyer les encouragements et demandes d'ami ; leur contenu se limite au pseudo de l'émetteur. Jamais : ton poids, tes repas, ta position exacte.
Le bouton « Supprimer mes données Connect » (dans l'onglet Profil) efface immédiatement et définitivement de nos serveurs tout ce qui précède, ainsi que les autres traces techniques rattachées à ton code (voir section 10). Il s'agit du droit à l'effacement (art. 17 RGPD).
Pour piloter la phase de test, notre serveur note, à chaque vérification d'abonnement, un enregistrement technique et minimal associé à ton code : la plateforme (iOS ou Android), la version de l'application et la date de dernière ouverture. Nous ne conservons pas l'identifiant détaillé de l'appareil (« user-agent ») : il est utilisé le temps de déduire la plateforme, puis écarté. Ces données sont purgées automatiquement après 90 jours d'inactivité et effacées par le droit à l'effacement (section 10). Base légale : intérêt légitime au bon fonctionnement du service pendant la bêta (art. 6.1.f).
Le paiement est traité par Stripe (ou par la boutique d'applications). Nous ne voyons ni ne stockons ta carte bancaire. Nous conservons uniquement le statut d'abonnement associé au code anonyme de ton application. Les pièces comptables sont conservées 10 ans, comme l'exige la loi.
Lorsque tu utilises nos formulaires en ligne de résiliation ou de rétractation, nous enregistrons ta demande — ton code personnel, ton email et la date — dans le seul but de la traiter (identifier ton abonnement, l'annuler et, le cas échéant, te rembourser) et de prouver que nous avons rempli nos obligations légales. Base légale : respect d'obligations légales (art. 6.1.c). Ces demandes sont conservées le temps nécessaire à leur traitement puis à titre de preuve, au maximum 3 ans, avant d'être supprimées ; elles sont aussi effacées par le droit à l'effacement (section 10).
Accès, rectification, effacement, portabilité, opposition, retrait du consentement : la quasi-totalité de tes données étant sur ton appareil, tu en as déjà le contrôle direct (elles disparaissent si tu désinstalles l'app). Le consentement au traitement de tes données de santé se retire à tout moment en décochant les conditions correspondantes dans l'app. Le bouton « Supprimer mes données Connect » déclenche un effacement complet côté serveur : profil et contenus Connect, mais aussi la clé de sécurité de ton appareil, un éventuel accès offert, la mesure de présence (section 6) et les demandes de résiliation/rétractation liées à ton code (section 8). Cet effacement ne résilie pas un abonnement en cours (pour cela, passe par la boutique d'applications ou par la page Résilier). Tu peux aussi nous écrire à contact.elaphestudio@gmail.com ou saisir la CNIL (cnil.fr).
Protocole s'adresse aux adultes (18 ans et plus). Les informations fournies (nutrition, entraînement) sont des outils de suivi et ne remplacent jamais un avis médical. En cas de trouble du comportement alimentaire, parles-en à un professionnel — en France : Anorexie Boulimie Info Écoute, 0810 037 037.
Les illustrations d'exercices affichées dans l'application sont l'œuvre du projet Everkinetic, utilisées sous licence CC-BY-SA 4.0. Nous les avons modifiées (recoloration) pour les adapter à l'interface. Conformément à cette licence, nos adaptations de ces images sont disponibles sous la même licence CC-BY-SA 4.0.
English summary: Protocole stores all your health data locally on your device. Our servers only process transient AI requests — meal photos, voice clips, an anonymous fitness profile and, with your explicit in-app consent (GDPR art. 9), the health conditions you declare, solely to adapt your plans; none of it is retained. These AI requests are handled by processors in the USA (Anthropic and Cloudflare) under the EU Standard Contractual Clauses (GDPR art. 46), sent without your identity and never stored. To prevent abuse we count requests per device using a non-reversible hash of your IP address (never stored in clear); this is deleted daily, within 48 hours. During the beta we keep a minimal presence record per code (platform, app version, last-seen date; no raw device fingerprint), purged after 90 days. Online cancellation/withdrawal requests (code + email + date) are kept to process them and as legal proof, up to 3 years. If you opt in to the social network: a pseudonym, avatar, dated workout check-ins and what you choose to publish. No ads, no trackers, no data sales, no model training. Full server-side deletion available in-app (GDPR art. 17), which also erases your device key, any comped access, presence and cancellation records. Contact: contact.elaphestudio@gmail.com.