Politique de confidentialite

1. Responsable du traitement

2. Delegue a la protection des donnees (DPO)

Conformement a l'article 37 du RGPD, MyFit.care a designe un Delegue a la Protection des Donnees, traitant des donnees sensibles de sante a grande echelle.

3. Donnees collectees

Nous collectons uniquement les donnees strictement necessaires a la fourniture du service (principe de minimisation - article 5.1.c RGPD).

3.1 Donnees d'identite

• Nom, prenom (facultatif, un pseudonyme peut etre utilise)
• Adresse email
• Date de naissance (pour adapter les recommandations)
• Sexe biologique (pour les calculs metaboliques)
• Mot de passe (hashe bcrypt, jamais stocke en clair)

3.2 Donnees de sante (categories particulieres - article 9 RGPD)

• Mesures corporelles : poids, taille, composition corporelle, tour de taille
• Donnees cardiaques : frequence cardiaque, HRV, VO2 max
• Donnees de glycemie (capteurs Garmin Glycoguard, CGM)
• Donnees de sommeil et de recuperation
• Donnees de sueur et d'electrolytes
• Donnees d'activite physique (duree, intensite, GPS facultatif)
• Donnees nutritionnelles (journal alimentaire, macronutriments)
• Pathologies declarees (glycogenose McArdle, GSD III, Verneuil, diabete, etc.)
• Traitements et medicaments en cours (facultatif)
• Symptomes et ressentis consignes par l'utilisateur

3.3 Donnees d'usage et techniques

• Adresse IP (anonymisee apres 90 jours)
• Type de navigateur et systeme d'exploitation
• Logs de connexion (horodatage, actions principales)
• Preferences utilisateur (langue, unites, theme)

4. Base legale des traitements

Conformement a l'article 6 et 9 du RGPD, chaque traitement repose sur une base legale identifiee :

5. Finalites du traitement

• Suivi personnalise : analyser vos donnees de sante pour vous fournir des recommandations adaptees a votre pathologie (McArdle, GSD III, Verneuil, diabete, etc.)
• Synchronisation multi-appareils : recuperer les donnees de votre montre connectee (Garmin, Apple Watch, Wear OS) et les afficher de maniere consolidee
• Alertes temps reel : declencher des alertes glycemiques, cardiaques ou metaboliques via Garmin Glycoguard
• Export medical : generer des rapports au format FHIR pour partage avec votre professionnel de sante
• Analyse IA : proposer une analyse personnalisee (tendances, anomalies) via des modeles d'IA medicale
• Support utilisateur : repondre a vos demandes et resoudre les problemes techniques
• Amelioration du service : analyser les usages agreges (anonymises)

6. Duree de conservation

7. Destinataires et sous-traitants

Vos donnees ne sont jamais vendues. Elles sont partagees uniquement avec les sous-traitants indispensables a la fourniture du service, sous contrat DPA (article 28 RGPD) :

• Convex (base de donnees) : stockage chiffre des donnees applicatives. Transfert hors UE encadre (voir section 8).
• Garmin International : synchronisation des donnees de montre connectee via OAuth 2.0. Vous controlez le perimetre de partage.
• Anthropic (Claude API) : analyse IA de donnees anonymisees uniquement. Aucune donnee identifiante n'est transmise.
• Hebergeur HDS : [PLACEHOLDER : nom de l'hebergeur certifie HDS] pour le stockage des donnees de sante en France/UE.
• Stripe : traitement securise des paiements (donnees bancaires jamais stockees chez MyFit.care).
• Professionnel de sante : uniquement si vous activez le partage via dashboard praticien.

8. Transferts internationaux

Les donnees de sante sont hebergees prioritairement en France ou dans l'Union europeenne chez un hebergeur certifie HDS. Certains sous-traitants (Anthropic, Convex) peuvent operer depuis les Etats-Unis. Ces transferts sont encadres par :

• Les Clauses Contractuelles Types (CCT) de la Commission europeenne 2021/914
• Le cadre "EU-US Data Privacy Framework" lorsque le sous-traitant y est certifie
• Des mesures techniques complementaires : chiffrement de bout en bout, pseudonymisation

9. Vos droits

Conformement aux articles 15 a 22 du RGPD, vous disposez des droits suivants :

• Droit d'acces (art. 15) : obtenir une copie de toutes les donnees vous concernant
• Droit de rectification (art. 16) : corriger des donnees inexactes ou incompletes
• Droit a l'effacement (art. 17) : demander la suppression de vos donnees
• Droit a la limitation (art. 18) : geler un traitement en cas de contestation
• Droit a la portabilite (art. 20) : recevoir vos donnees au format structure (FHIR, JSON, CSV)
• Droit d'opposition (art. 21) : vous opposer a un traitement base sur l'interet legitime
• Droit de retrait du consentement : a tout moment, sans affecter la licite du traitement anterieur
• Droit a ne pas faire l'objet d'une decision automatisee (art. 22) : l'IA ne prend jamais de decision medicale automatique
• Directives post-mortem : vous pouvez communiquer vos directives concernant vos donnees apres votre deces (loi Informatique et Libertes, art. 85)

10. Comment exercer vos droits

Vous pouvez exercer ces droits :

• Directement depuis l'application : Parametres → Confidentialite → Mes donnees (telechargement, suppression, export FHIR)
• Par email au DPO : dpo@myfit.care
• Par courrier postal : [PLACEHOLDER : adresse postale du DPO]

Une reponse vous sera apportee dans un delai maximum d'un mois (article 12 RGPD). Une piece d'identite peut etre demandee en cas de doute raisonnable sur votre identite.

11. Cookies et traceurs

Le site MyFit.care utilise un nombre minimal de cookies :

• Cookies strictement necessaires : session d'authentification, preferences de langue (exemptes de consentement)
• Cookies de mesure d'audience anonymisee : optionnels, soumis a votre consentement via banniere

Aucun cookie publicitaire ni de tracking tiers n'est depose. Vous pouvez modifier vos choix a tout moment via le lien "Gerer les cookies" du pied de page.

12. Hebergement des donnees de sante

13. Securite des donnees

Des mesures techniques et organisationnelles appropriees sont mises en oeuvre (article 32 RGPD) :

• Chiffrement des donnees en transit (TLS 1.3) et au repos (AES-256)
• Authentification HMAC-SHA256 pour l'integration Garmin
• Hashage des mots de passe (bcrypt, cout >= 12)
• Authentification multi-facteurs (2FA) disponible
• Acces base sur le principe du moindre privilege (RBAC)
• Journalisation et detection d'intrusion
• Sauvegardes chiffrees quotidiennes
• Tests de penetration annuels
• Formation continue des equipes a la securite

14. Violation de donnees

En cas de violation de donnees susceptible d'engendrer un risque eleve pour vos droits et libertes, vous serez informe sans delai (article 34 RGPD). La CNIL sera egalement notifiee dans les 72 heures.

15. Reclamation aupres de la CNIL

Si vous estimez que vos droits ne sont pas respectes, vous pouvez introduire une reclamation aupres de la Commission Nationale de l'Informatique et des Libertes (CNIL) :

16. Modifications de la politique

La presente politique peut etre mise a jour pour refleter les evolutions legales ou fonctionnelles du service. Toute modification substantielle vous sera notifiee par email et dans l'application au moins 30 jours avant son entree en vigueur.

17. Contact