Politique de confidentialité

Phitalys traite des données de santé sensibles. Nous avons rédigé cette politique dans un langage clair pour que tu comprennes précisément ce que nous faisons — et ne faisons pas — de tes informations. Le document respecte le Règlement général sur la protection des données (RGPD, UE 2016/679) et la loi Informatique et Libertés n° 78-17 modifiée.

1. Responsable de traitement

Le responsable du traitement est la société Phitalys, en cours de constitution sous forme de SASU, dont le siège social est situé en France. Un délégué à la protection des données (DPO) a été désigné. Tu peux le joindre directement à :

• E-mail DPO : privacy@phitalys.com
• Contact général : contact@phitalys.com

2. Quelles données collectons-nous ?

Phitalys collecte uniquement ce qui est nécessaire à la bonne exécution du service. Les catégories sont les suivantes :

2.1 Données d'identification

• Adresse e-mail ;
• Prénom (facultatif) et âge déclaré (obligatoire pour vérifier la majorité) ;
• Mot de passe stocké sous forme de hash scrypt (paramètres OWASP recommandés — jamais en clair) ;
• Photo de profil si tu l'importes volontairement.

2.2 Données de santé

Il s'agit de données sensibles au sens de l'article 9 RGPD :

• Poids, taille, tour de taille, composition corporelle déclarée ;
• Qualité et durée du sommeil (déclaratif, ou via intégration tierce si tu l'actives) ;
• Cycle menstruel (dates, symptômes, phases) — uniquement si tu actives le module dédié avec consentement séparé ;
• Pathologies déclarées, allergies, intolérances alimentaires ;
• Ressenti, humeur, énergie (check-in quotidien) ;
• Objectifs (perte de poids, performance, recomposition…).

2.3 Données d'usage

• Photos de repas que tu importes volontairement ;
• Créneaux et séances sportives ;
• Historique des recettes consultées, notées ou cuisinées ;
• Conversations avec l'assistant IA.

2.4 Données techniques

• Adresse IP (pseudonymisée après 30 jours) ;
• User-agent (type de navigateur, système d'exploitation) ;
• Journal d'accès minimal (date, endpoint appelé, code HTTP) à des fins de sécurité et de prévention de la fraude.

3. Finalités et bases légales

Le traitement des données sensibles repose sur un consentement explicite, séparé du consentement général aux CGU. Tu peux le retirer à tout moment depuis « Paramètres > Confidentialité », sans que cela n'affecte la licéité du traitement antérieur.

4. Durées de conservation

• Compte actif : tes données sont conservées tant que ton compte existe.
• Inactivité : après 3 ans sans connexion, nous t'envoyons un e-mail de rappel. À défaut de réactivation dans les 30 jours, les données sont supprimées.
• Données de santé : supprimées à ta demande, sinon mêmes durées que le compte.
• Factures et preuves comptables :10 ans (obligation légale, Code de commerce).
• Logs techniques et sécurité :12 mois maximum.
• Sauvegardes chiffrées : 90 jours, puis purge automatique.

5. Destinataires et sous-traitants

Aucune donnée n'est revendue, louée ou cédée à des fins publicitaires. Les destinataires sont strictement limités à :

• Équipe Phitalys (France) — accès restreint, journalisé et limité à ce qui est nécessaire.
• OVH SAS — hébergement des serveurs à Roubaix, France. Certifié ISO 27001, ISO 27701 et HDS-compatible.
• Anthropic PBC (États-Unis) — fournisseur du modèle d'IA Claude. Traitement transfrontalier encadré (voir § 6).
• Stripe Payments Europe Limited (Irlande) — traitement des paiements. Phitalys ne stocke aucune donnée bancaire.
• Resend / Postmark (UE) — acheminement des e-mails transactionnels (confirmation, notification).

Chaque sous-traitant est lié par un accord de traitement des données (DPA) respectant l'article 28 du RGPD.

6. Transferts hors Union européenne

Un seul transfert hors UE a lieu : vers les serveurs d'Anthropic aux États-Unis, pour l'exécution des requêtes vers Claude. Ce transfert est encadré par :

• les clauses contractuelles types (CCT) de la Commission européenne, version 2021 ;
• une minimisation stricte : aucun identifiant direct (e-mail, nom, IP) n'est transmis. Seul le texte ou l'image de la requête est envoyé ;
• une politique zéro rétention côté Anthropic pour les appels API Phitalys (voir leur politique).

Tu peux refuser les fonctionnalités IA à tout moment depuis « Paramètres > IA ». Dans ce cas, aucune donnée ne quittera plus l'Union européenne.

7. Tes droits

Conformément aux articles 15 à 22 du RGPD, tu disposes des droits suivants :

• Droit d'accès : obtenir une copie de toutes les données que nous détenons sur toi.
• Droit de rectification : corriger une donnée inexacte ou incomplète.
• Droit à l'effacement (« droit à l'oubli ») : obtenir la suppression de tes données, sous réserve des obligations légales de conservation.
• Droit à la portabilité : recevoir tes données dans un format structuré (JSON), réutilisable et lisible par machine.
• Droit de limitation : suspendre un traitement le temps d'une vérification.
• Droit d'opposition : t'opposer à un traitement fondé sur notre intérêt légitime.
• Droit de retirer ton consentement : à tout moment pour les traitements qui en dépendent.
• Directives post-mortem : définir le sort de tes données après ton décès (loi Informatique et Libertés).

Tu peux exercer ces droits directement depuis Paramètres > Données ou en écrivant à privacy@phitalys.com. Nous répondons dans un délai d'un mois (prorogeable de 2 mois en cas de demande complexe).

Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL — www.cnil.fr/fr/plaintes — 3 Place de Fontenoy, 75007 Paris.

8. Cookies et traceurs

Phitalys utilise le strict minimum :

• Cookies essentiels : session, jeton CSRF, authentification. Exemptés de consentement (art. 82 LIL).
• Analytics internes : stockés dans notre propre base PostgreSQL (table analytics_events), pseudonymisés et conservés 13 mois. Aucun transfert vers Google Analytics, Meta Pixel, TikTok Pixel ou autre régie publicitaire.

Aucun cookie publicitaire, aucun pixel de retargeting, aucun traceur tiers. Tu peux le vérifier toi-même via l'onglet « Réseau » de ton navigateur.

9. Sécurité

• Chiffrement en transit : TLS 1.3 avec HSTS préchargé.
• Chiffrement au repos : AES-256 pour les sauvegardes et les volumes sensibles.
• Mots de passe : hachage scrypt avec paramètres OWASP 2024 (N=2^17, r=8, p=1).
• Accès interne : principe du moindre privilège, double authentification obligatoire, traçabilité complète.
• Sauvegardes : quotidiennes, chiffrées, dans une région UE distincte. Restauration testée chaque mois.
• Audit : revue de sécurité annuelle par un tiers indépendant, plus pentest en cas de refonte majeure.
• Notification de violation : en cas de violation de données présentant un risque pour tes droits, nous informons la CNIL dans les 72 heures et, si le risque est élevé, nous t'avertissons directement.

10. Mineurs

Phitalys est strictement interdit aux personnes de moins de 18 ans. La majorité est une condition d'ouverture du compte, liée à la nature sensible des données traitées (santé, éventuellement cycle menstruel). Aucune création de compte n'est possible par un représentant légal au bénéfice d'un mineur.

11. Données sensibles : consentement explicite

Le traitement des données sensibles (cycle menstruel, pathologies, allergies, antécédents médicaux) requiert un consentement explicite, séparé du consentement général aux CGU :

• Une case à cocher dédiée lors de l'activation de chaque module sensible ;
• Une possibilité de retrait à tout moment depuis « Paramètres > Confidentialité » ;
• Une suppression sélective : tu peux par exemple supprimer uniquement l'historique du cycle tout en conservant ton compte.

12. Hébergement

L'ensemble des bases de données et des serveurs applicatifs est hébergé chez OVH SAS, 2 rue Kellermann, 59100 Roubaix, France. Phitalys n'héberge pas de données classées HDS au sens de l'arrêté du 4 janvier 2006, étant positionné sur le segment bien-être et non dispositif médical. L'infrastructure OVH retenue est toutefois conforme ISO 27001 et ISO 27701.

13. Modifications de la politique

Cette politique peut être mise à jour pour tenir compte d'évolutions réglementaires, techniques ou fonctionnelles. Toute modification substantielle te sera notifiée par e-mail au moins 30 jours avant son entrée en vigueur. Les versions précédentes sont conservées pour permettre une traçabilité historique.

14. Contact

Pour toute question sur cette politique ou tes données personnelles : privacy@phitalys.com. Pour les conditions d'utilisation du service, consulte nos conditions générales.