Retour au site

Informations légales

Politique de confidentialité

Mise à jour le 23 octobre 2026

Article 1. Qui est responsable du traitement

Le responsable du traitement de vos données à caractère personnel, au sens du Règlement (UE) 2016/679 (RGPD), est :

Muriel GAGNOL, exerçant sous le nom commercial « Reelle » (ci-après « l'entreprise Reelle » ou « l'éditrice ») Statut : micro-entreprise (entrepreneur individuel), RCS Paris 102 472 909 SIRET : 102 472 909 00013 Adresse : 59 rue de Ponthieu, Bureau 326, 75008 Paris Email dédié aux données personnelles : contact@bluun.fr

L'éditrice n'a pas désigné de Délégué à la Protection des Données (DPD/DPO). L'article 37.1 du RGPD rend cette désignation obligatoire dans trois cas : lorsque le responsable est une autorité publique, lorsque ses activités de base consistent en un suivi régulier et systématique des personnes à grande échelle, et lorsqu'elles consistent en un traitement à grande échelle de catégories particulières de données (article 9 du RGPD).

C'est la condition d'échelle, et elle seule, qui fonde ici l'absence de délégué. L'éditrice est une entreprise individuelle sans salarié ; ni le suivi ni le traitement qu'elle met en œuvre n'atteignent la grande échelle que ces deux cas supposent. Cette analyse ne dépend donc pas de la qualification des données traitées, exposée à l'article 10 : elle tiendrait à l'identique si cette qualification changeait.

Un point de contact dédié aux données (l'adresse électronique ci-dessus) est suffisant à ce stade. Pour que ce critère ne reste pas une appréciation, l'éditrice réexamine cette analyse au moins une fois par an, et sans délai en cas de croissance sensible du nombre d'utilisatrices. Le seuil et la méthode de ce réexamen sont consignés au registre des activités de traitement.

Article 2. Quelles données Bluun collecte, et pourquoi

2.1. Données de compte

Vous créez votre compte Bluun avec une adresse email et un mot de passe, sur iPhone comme sur Android. Ils sont gérés par Supabase Auth. Votre mot de passe est stocké sous forme hachée, il n'est à aucun moment lisible par l'éditrice.

Sur iPhone, vous pouvez aussi entrer par « Se connecter avec Apple ». Apple est alors fournisseur d'identité : c'est lui qui vous authentifie, et il sait que vous vous inscrivez ou que vous vous connectez à Bluun. Ce que Bluun reçoit de lui, et rien de plus :

Bluun ne propose aucune autre connexion par un compte tiers (Google, Facebook ou autre) : aucun réseau social n'est informé de votre inscription ni de vos connexions.

Quand vous supprimez votre compte, Bluun révoque auprès d'Apple le lien entre votre identifiant Apple et l'application. L'application vous demande pour cela une nouvelle autorisation d'Apple juste avant la suppression, et cette révocation est la première chose faite : si elle échoue, la suppression est refusée et rien n'est effacé, plutôt que de laisser subsister chez Apple un accès à un compte qui n'existe plus. Aucun jeton reçu d'Apple n'est conservé ni journalisé.

Finalité : création et gestion de votre compte, authentification.

2.2. Données de profil (onboarding)

Données collectées lors de votre inscription et modifiables ensuite dans l'application : prénom ou pseudonyme, année de naissance (jamais votre date de naissance complète), taille, niveau d'activité physique quotidienne, objectif choisi parmi les deux que l'application propose (« Me recomposer » ou « Maintenir mon poids et me muscler »), poids visé et date estimée le cas échéant, objectifs caloriques et de macronutriments calculés à partir de ces informations, et vos préférences d'entraînement (lieu, matériel disponible, nombre et jours de séances souhaités).

Finalité : personnalisation automatique des objectifs nutritionnels et du programme d'entraînement, calculée à partir des seules données que vous saisissez, sans intervention humaine.

2.3. Données du journal alimentaire

Aliments et quantités que vous enregistrez, macros et calories calculées à partir de la base de données nutritionnelle (Ciqual / Open Food Facts), repas et horodatage, favoris alimentaires et repas favoris que vous enregistrez.

Finalité : suivi nutritionnel personnel, affichage de votre bilan quotidien. Ces données ne sont pas transmises à l'assistante IA Alba, sauf si vous demandez vous-même son avis sur votre journée depuis le Journal : partent alors les chiffres du jour, sans aucun nom d'aliment (voir article 2.6).

Lorsque vous scannez le code-barres d'un produit, ou lorsque votre recherche d'un produit du commerce trouve moins de trois résultats dans la base intégrée à l'application, la requête (code-barres ou termes recherchés) est adressée aux serveurs d'Open Food Facts, qui reçoivent à cette occasion votre adresse IP. Les photographies de produits sont également chargées depuis ces serveurs. Aucun identifiant de compte, aucune donnée de profil et aucune entrée de votre journal ne leur sont transmis (voir article 7.2).

2.4. Données de pesée

Pesées que vous enregistrez (poids et date).

Finalité : affichage de votre courbe de poids, calcul de vos objectifs caloriques et estimation de la date à laquelle votre cap pourrait être atteint. Ces données ne sont pas transmises à Alba.

Vos mesures corporelles et votre composition corporelle ne figurent pas ici : elles ne sont jamais transmises à l'éditrice ni à ses prestataires. Voir l'article 4.

2.5. Données de séances de musculation

Exercices réalisés, charges ou niveaux de résistance, répétitions, séries, durées, date de vos séances, et la note que vous pouvez écrire librement sur une séance.

Finalité : suivi de votre progression, personnalisation automatique du programme d'entraînement, sans intervention humaine. Ces données ne sont pas transmises à Alba.

La note de séance est un champ de texte libre, et nous préférons vous dire ce qu'il devient. Vous n'êtes invitée à y écrire que ce qui concerne votre séance : une charge, un réglage, un repère à retrouver la fois suivante. Ce que vous y écrivez n'est ni extrait, ni indexé, ni classé dans un champ structuré, n'est jamais transmis au fournisseur du modèle d'intelligence artificielle ni à aucun autre destinataire, et n'est lu à aucune autre fin que de vous réafficher votre séance. Il suit la durée de conservation des séances (article 9), et non celle, plus courte, de vos échanges avec Alba : la note sert précisément à retrouver un réglage d'une séance à l'autre. Comme pour vos messages à Alba, l'éditrice ne peut pas techniquement empêcher que vous y écriviez autre chose de votre propre initiative ; elle ne le sollicite jamais.

2.6. Conversations avec l'assistante IA Alba

Messages que vous échangez avec Alba (texte libre), réponses générées, horodatage des échanges.

Pour générer une réponse, Bluun transmet au fournisseur du modèle d'intelligence artificielle (Anthropic, voir articles 7 et 8) les éléments suivants :

Certains de ces éléments ne partent pas quand l'échange le demande. Quand l'échange a évoqué une difficulté avec l'alimentation, ou quand votre question porte sur une autre personne, seul votre prénom est transmis, sans aucun chiffre. Quand un message a indiqué un âge de moins de dix-huit ans, aucun élément de votre profil n'est transmis (article 16).

Le bilan de votre journée, quand vous le demandez. Le Journal porte un bouton qui demande l'avis d'Alba sur la journée affichée. Si vous le touchez, l'application écrit à votre place un message qui porte les chiffres de cette journée, et ce message part chez Anthropic comme n'importe quel message que vous écrivez vous-même. Il contient l'énergie consommée et votre objectif d'énergie, vos protéines, vos lipides, vos glucides et vos fibres consommés avec leurs objectifs, ce qu'il vous reste à placer ou votre dépassement, et, pour chaque repas que vous avez renseigné, le nom de ce repas avec ses calories et ses protéines arrondies. Aucun nom d'aliment n'y figure. Ce message ne part que quand vous le demandez depuis le Journal, jamais de lui-même. Il repose sur le consentement que vous avez donné pour Alba (articles 8 et 11), et il est conservé comme les autres messages de votre conversation : douze mois, puis effacement automatique (article 9), et effaçable par vous à tout moment (article 11).

En dehors de ce bilan, votre journal alimentaire n'est pas transmis à Anthropic. Vos séances, vos pesées, votre adresse électronique et votre identifiant de compte ne le sont jamais.

Finalité : fourniture du service d'assistance conversationnelle bien-être.

Ce qu'Anthropic conserve pour son propre compte, et que l'éditrice ne maîtrise pas. Les messages transmis pour obtenir une réponse sont conservés par ce prestataire jusqu'à trente jours, et jusqu'à deux ans lorsqu'un contenu est signalé par ses propres systèmes de sécurité. Cette conservation est distincte de celle de l'éditrice, décrite à l'article 9 : elle a lieu chez le sous-traitant, sous les garanties contractuelles de l'article 7.1, et elle ne dépend pas de l'effacement que vous demandez à l'éditrice.

Si vous mentionnez librement, dans un message, une information de santé (une pathologie, un traitement, un symptôme), cette information reste dans le texte de la conversation. Bluun ne l'extrait pas, ne l'indexe pas, ne la classe pas dans un champ structuré, et ne l'utilise à aucune autre fin que la réponse à votre message, y compris le choix d'une réponse écrite à l'avance et des consignes décrits ci-dessous. Voir article 7 pour le rôle d'Anthropic.

Les réponses écrites à l'avance. Avant d'envoyer votre message au fournisseur du modèle, Bluun le compare à des listes de mots écrites par l'éditrice. Quand votre message évoque une situation pour laquelle l'éditrice a écrit une réponse à l'avance (par exemple une urgence, une détresse, une difficulté avec l'alimentation, une douleur, ou un âge de moins de dix-huit ans), Alba vous envoie cette réponse. Votre message n'est alors pas transmis au fournisseur du modèle, et aucune question n'est décomptée de votre réserve (article 2.10).

Votre message et cette réponse sont enregistrés dans votre conversation, comme tout échange. Bluun n'enregistre pour ces situations aucune case, aucune catégorie et aucun champ séparé. Mais une réponse écrite à l'avance laisse deviner la nature du message auquel elle répond. Elle est conservée comme le reste de votre conversation, douze mois par message (article 9), et elle s'efface avec votre historique (article 11). Ces échanges ne sont pas renvoyés au fournisseur du modèle avec les messages suivants.

Les consignes écrites par Bluun. Quand une situation est apparue dans l'échange, Bluun ajoute à votre message des consignes qu'elle a écrites, pour que la réponse reste prudente (par exemple : aucun chiffre de calories dans cet échange). Après une réponse écrite à l'avance, une consigne peut aussi dire seulement qu'une telle réponse a été donnée, sans dire laquelle ni à quel sujet. Ces consignes sont écrites comme des règles, jamais comme un jugement sur vous, mais elles peuvent laisser deviner la situation. Elles partent chez le fournisseur du modèle avec votre message, qui les conserve comme le reste de la requête. Bluun ne les conserve pas.

Qui peut lire vos conversations. L'éditrice ne lit pas vos conversations avec Alba. Son accès d'administratrice le lui permettrait techniquement. Elle ne consulte la base que dans trois cas :

Dans aucun autre cas. Elle ne lit aucune conversation pour améliorer Alba. Pour comprendre une anomalie, elle la reproduit sur un compte de test, jamais sur le vôtre.

Chaque lecture est notée. Quand l'un de ces trois cas se présente, l'éditrice inscrit dans un journal tenu à part la date, le motif, le compte concerné, ce qui a été lu et la suite donnée. Ce journal existe pour qu'une lecture ne puisse pas avoir lieu sans trace.

Vos conversations ne sortent pas de chez l'hébergeur en clair. Elles ne sont ni exportées, ni recopiées, ni sauvegardées en clair ailleurs que chez l'hébergeur de la base (article 7.1). La seule exception est l'exercice de vos droits : la copie que vous demandez vous est remise à vous, et à personne d'autre (article 11).

Vous pouvez aussi lui envoyer vous-même un échange : par courriel, ou par le retour intégré à TestFlight pendant le test de l'application, qui passe par Apple. Ce n'est pas une lecture de la base. L'éditrice lit ce que vous lui envoyez, et rien d'autre. En le lui envoyant, vous acceptez qu'elle le lise pour vous répondre. S'il lui faut la suite de l'échange, elle vous la demande.

En dehors d'Alba elle-même, qui reçoit vos messages comme décrit plus haut, aucun outil d'intelligence artificielle employé par l'éditrice ne lit le contenu de votre compte, et aucun ne lit le contenu de vos conversations avec Alba. Ces outils ne servent qu'à la structure de la base, à des comptages et à des comptes de test.

2.7. Données de paiement et d'abonnement

Bluun ne collecte, ne voit et ne stocke aucune donnée bancaire. Le paiement est intégralement géré par la plateforme sur laquelle vous avez souscrit : Apple via l'App Store sur iPhone, Google via Google Play sur Android.

La gestion technique des abonnements est confiée à RevenueCat, qui agit comme sous-traitant de l'éditrice (article 7.1). Les données qui lui sont transmises sont les suivantes, et aucune autre :

Cette même demande est également inscrite, au moment où vous la formulez, dans le journal de preuve de l'éditrice décrit à l'article 2.13, avec l'heure du serveur et le texte exact qui vous a été présenté, et elle y est conservée cinq ans. Il ne s'agit pas d'une seconde transmission à RevenueCat : c'est un enregistrement chez l'éditrice, sur ses propres serveurs. Pourquoi les deux : l'attribut ci-dessus est modifiable et il disparaît avec votre compte chez RevenueCat le jour où vous le supprimez. Une preuve qui s'efface au moment où elle servirait n'est pas une preuve, et la charge d'établir cette demande pèse sur l'éditrice.

En retour, Bluun reçoit de RevenueCat le statut de votre abonnement (actif, expiré) et la plateforme de souscription. RevenueCat reçoit par ailleurs de la plateforme les informations relatives à la transaction elle-même ; l'éditrice n'a accès à aucune donnée bancaire à aucun moment.

2.8. Mesures corporelles, composition corporelle et photos de suivi

Voir article 4. Ces données ne remontent jamais sur les serveurs de l'éditrice et ne sont donc pas décrites dans les autres catégories ci-dessus.

2.9. Liste d'attente du site vitrine (avant le lancement)

Le site vitrine de Bluun propose, avant l'ouverture de l'application, une inscription à une liste d'attente. Données collectées : votre adresse email, le téléphone que vous déclarez (iPhone ou Android), la preuve de votre consentement (case à cocher explicite), la date de l'inscription et la provenance de cette inscription (le formulaire du site par lequel elle a été faite). Rien d'autre.

Finalité : vous envoyer un seul message, annonçant la sortie de Bluun sur le téléphone que vous avez déclaré. Cette liste ne sert à aucune newsletter ni à aucune prospection autre que ce message. Ce message est envoyé par Brevo (Sendinblue SAS), prestataire d'envoi d'emails établi en France, donc dans l'Union européenne : cf. articles 6 et 7.

Base légale : votre consentement (article 6.1.a du RGPD), recueilli par une case à cocher non pré-cochée au moment de l'inscription.

Stockage : base de données hébergée par Supabase en Union européenne (Irlande), cf. articles 6 et 7. L'adresse email n'est accessible qu'à l'éditrice ; aucune lecture publique n'est techniquement possible.

Durée de conservation : jusqu'à l'envoi de ce message, et au plus tard 24 mois après votre inscription. Vous pouvez retirer votre consentement et demander la suppression à tout moment : contact@bluun.fr (cf. article 11).

2.10. Réserve de questions de l'assistante IA Alba

Les échanges avec Alba reposent sur une réserve de questions : vous pouvez en garder jusqu'à dix d'avance, et vous en regagnez une par jour. Les jours où vous ne posez rien, vos questions se conservent ; le jour où vous en avez besoin, vous pouvez en poser plusieurs d'affilée. Pour appliquer cette règle, Bluun conserve, par compte, deux valeurs : le solde de la réserve et la date de sa dernière mise à jour.

Cette réserve ne contient aucun contenu de conversation, aucun mot de vos messages, aucune information sur ce dont vous avez parlé avec Alba. C'est un nombre et une date, rien d'autre.

Finalité : appliquer la réserve, prévenir les abus et maîtriser le coût du service d'intelligence artificielle, qui est facturé à l'usage.

Base légale : l'intérêt légitime de l'éditrice (article 6.1.f du RGPD) à protéger son service contre un usage abusif et à en maîtriser le coût.

Pourquoi il survit à l'effacement de vos échanges : parce qu'il est tenu séparément de vos conversations. Si le décompte était déduit de vos messages, il suffirait d'effacer son historique pour repartir avec une journée neuve, autant de fois que voulu. La limite quotidienne ne voudrait alors plus rien dire.

Durée de conservation : la vie de votre compte. Cette réserve n'est pas un historique, c'est un solde : une seule ligne par compte, mise à jour au fil de vos questions, sans qu'aucune trace des précédentes soit gardée. Il n'y a donc rien à purger avec le temps, et l'effacer périodiquement reviendrait à rendre une réserve neuve, ce que la règle ci-dessus a précisément pour objet d'éviter. Elle est effacée immédiatement à la suppression de votre compte.

2.11. Photographie d'un repas (fonction « Mon assiette »)

L'application vous propose, sous chaque repas de votre journal, de photographier votre assiette pour obtenir une estimation de ce qu'elle contient. Cette fonction est destinée aux situations où peser vos aliments est matériellement impossible, au restaurant en particulier. Elle est entièrement facultative : le journal alimentaire fonctionne sans elle, et la méthode Bluun repose sur la pesée.

C'est le seul cas où une image quitte votre téléphone, et nous vous le signalons expressément, parce que toutes les autres photos de l'application (photos de suivi avant/après, cf. article 4) n'en sortent jamais.

Ce qui se passe exactement, dans l'ordre : la photo est prise ; un écran vous la montre et vous propose d'ajouter, si vous le souhaitez, quelques mots sur ce que la photo ne montre pas (le mode de cuisson, la matière grasse, une sauce servie à part) ; l'ensemble est réduit à 768 pixels de côté et transmis au fournisseur du modèle d'intelligence artificielle (Anthropic PBC, cf. article 7.1), qui renvoie une liste d'aliments et de quantités estimées. Cette liste s'affiche sur un écran de correction où vous ajustez chaque ligne. Rien n'entre dans votre journal sans passer par cet écran.

Le texte que vous ajoutez est facultatif et limité à 240 caractères. Il ne vous est rien demandé d'autre que la composition de votre repas, et il n'est pas conservé : comme la photo, il transite le temps de l'estimation. L'éditrice ne peut pas techniquement empêcher que vous y écriviez autre chose de votre propre initiative ; elle ne le sollicite jamais et n'en garde rien.

Aucune conservation par l'éditrice. Ni l'image ni le texte que vous ajoutez ne sont jamais enregistrés du côté de l'éditrice : ni sur ses serveurs, ni dans un espace de stockage, ni dans un journal technique. L'image n'est pas non plus versée dans la photothèque de votre appareil. Elle existe le temps de l'aller-retour, puis elle disparaît. Ce que Bluun conserve, ce sont uniquement les aliments que vous avez validés, exactement comme si vous les aviez saisis à la main : ils rejoignent votre journal alimentaire et suivent le régime décrit à l'article 2.3.

Ce que le prestataire conserve, lui, pour son propre compte. L'estimation est produite par le fournisseur du modèle d'intelligence artificielle (Anthropic, article 7.1), qui conserve les éléments qui lui sont transmis jusqu'à trente jours, et jusqu'à deux ans lorsqu'un contenu est signalé par ses propres systèmes de sécurité. Nous préférons l'écrire que le laisser déduire : « rien n'est conservé » est vrai de l'éditrice, il ne l'est pas de son sous-traitant.

Ce que vous décidez de photographier relève de vous. Une photo de repas peut, selon la manière dont vous cadrez, faire apparaître d'autres personnes, un intérieur ou un document. L'éditrice ne le sollicite pas et le modèle a pour instruction expresse de ne décrire ni les personnes, ni le lieu, ni rien qui ne soit un aliment ; il reste que le cadrage vous appartient, et nous vous invitons à ne photographier que votre assiette.

Finalité : estimer, à votre demande, la composition d'un repas que vous ne pouvez pas peser.

Base légale : l'exécution du contrat (article 6.1.b du RGPD), la fonction faisant partie du service auquel vous êtes abonnée.

Ce que Bluun ne fait pas avec cette photo : aucune analyse de votre silhouette, aucune estimation de votre composition corporelle, aucune inférence sur votre état de santé, aucune reconnaissance de personne. Le modèle nomme des aliments et propose des grammages, et il lui est interdit de commenter votre repas.

2.12. Compteur hebdomadaire des photographies de repas

Pour appliquer la limite de trois photographies par semaine, Bluun conserve, par compte, deux valeurs : le lundi de la semaine en cours et le nombre de photographies déjà prises cette semaine. Rien d'autre : ni ce qui a été photographié, ni quand, ni ce qui en est ressorti.

Finalité : appliquer la limite, prévenir les abus et maîtriser le coût du service d'intelligence artificielle, qui est facturé à l'usage.

Base légale : l'intérêt légitime de l'éditrice (article 6.1.f du RGPD).

Durée de conservation : 12 mois, puis suppression. Effacé immédiatement en cas de suppression du compte.

2.13. Preuves des actes contractuels et de votre consentement

Certaines obligations imposent à l'éditrice de pouvoir démontrer qu'un acte a eu lieu : que vous avez demandé l'exécution immédiate du service, que vous avez reçu la confirmation de votre contrat, que le rappel avant reconduction vous a été adressé, que vous avez accepté les informations présentées à l'inscription, que vous avez donné puis, le cas échéant, retiré le consentement décrit à l'article 5, ou encore la date à laquelle votre compte a été fermé. S'y ajoute, depuis le 24 septembre 2026, la date à laquelle la plateforme qui a encaissé votre achat vous a remboursé, quand elle nous en informe : c'est une décision d'Apple ou de Google, que l'éditrice ne fait que constater. Bluun conserve donc, pour ces actes et pour eux seuls, une trace horodatée.

Ce qui est conservé : l'identifiant de votre compte, votre adresse électronique, la nature de l'acte, la formule d'abonnement, la plateforme, la version de l'application, et le texte exact qui vous a été présenté, accompagné de son empreinte.

Pourquoi le texte et pas une simple case cochée : ce qu'il faut pouvoir établir n'est pas qu'une date existe, c'est quel libellé vous avez lu. Une acceptation dont on ne peut pas montrer le texte ne prouve presque rien, ni pour vous ni pour l'éditrice.

Base légale : l'intérêt légitime de l'éditrice (article 6.1.f du RGPD) à établir et à défendre ses droits, ainsi que le respect d'obligations légales qui lui imposent cette preuve.

Durée de conservation : cinq ans, qui est le délai de prescription de droit commun (article 2224 du code civil), sauf durée propre à un acte particulier. Deux durées propres existent, et elles sont plus longues :

Ces traces survivent à la suppression de votre compte, et nous préférons vous le dire clairement. Elles sont prévues par l'article 17.3.e du RGPD, qui autorise le maintien des données nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice. Une preuve qui disparaîtrait au moment où elle sert ne serait pas une preuve. Votre adresse électronique y est conservée pour la même raison : une fois le compte supprimé, son identifiant ne désigne plus personne. Ce n'est pas la seule survivance : le journal des accès, décrit juste après, en est une autre, à un autre titre. L'article 9 en donne le tableau complet, sauvegardes comprises.

Le journal des accès survit aussi, à un autre titre. Si l'éditrice a dû consulter votre compte, dans l'un des cas de l'article 2.6, une ligne le note : la date, le cas, l'identifiant de votre compte et ce qui a été consulté, sans aucun extrait. Cette ligne est conservée cinq ans à compter de la lecture, même après la suppression de votre compte. Sa base légale est l'obligation légale de rendre compte (RGPD art. 6.1.c, 5.2 et 24), et non l'article 17.3.e qui fonde les preuves ci-dessus : sa conservation après une demande d'effacement relève de l'article 17.3.b. Après la suppression, l'identifiant ne renvoie plus à aucune donnée tenue par l'éditrice.

Combien de temps votre adresse est-elle conservée ? Votre adresse électronique est conservée cinq ans après la fermeture de votre compte, puis supprimée automatiquement. Pour les preuves de votre consentement et de son retrait, ce sont exactement cinq ans, décomptés depuis la fermeture. Pour les autres actes, la preuve porte sa propre échéance de cinq ans à compter de l'acte lui-même, qui est toujours antérieur à la fermeture : l'adresse disparaît donc au plus tard cinq ans après elle. L'effacement n'est pas une promesse, c'est une tâche : une purge s'exécute chaque nuit sur la base et supprime les lignes arrivées à leur terme, sans intervention de l'éditrice. Le cas de la rétractation se dit à part, parce qu'il porte une seconde adresse : quand vous vous rétractez, l'adresse à laquelle l'accusé de réception vous a été envoyé est conservée avec la preuve de la rétractation, et pour la même durée. C'est elle qui établit que l'accusé vous a bien été adressé, et à quelle adresse. L'adresse est conservée en clair plutôt que remplacée par une empreinte, et c'est un choix assumé : une empreinte ne permet de vérifier une adresse que si l'on connaît déjà celle que l'on cherche. Elle ne permettrait ni de vous répondre, ni de vous retrouver dans un dossier, ce qui est précisément l'usage de cette donnée le jour où elle sert. En contrepartie, elle ne vit pas plus longtemps que la preuve qui la porte. Ces traces ne servent à rien d'autre. Elles ne sont jamais relues pour vous adresser un message, vous profiler ou décider quoi que ce soit à votre sujet.

2.14. Rapports de plantage

Lorsque l'application rencontre une erreur qui l'interrompt, elle prépare un rapport technique et l'adresse au prestataire décrit à l'article 7.1, pour que l'éditrice puisse comprendre le défaut et le corriger. Si l'application se ferme brutalement, le rapport est enregistré sur votre téléphone et envoyé à l'ouverture suivante.

Ce rapport contient : la nature de l'erreur et l'endroit du code où elle s'est produite, le nom de l'écran ouvert à ce moment, la date et l'heure, la version de l'application et son numéro de compilation, et les caractéristiques techniques de votre téléphone (modèle, système et sa version, langue, fuseau horaire, mémoire et stockage disponibles).

Il ne contient ni votre nom, ni votre adresse électronique, ni votre identifiant de compte, ni aucun identifiant propre à votre téléphone ; ni vos repas, vos pesées, vos séances, vos messages à Alba ou vos photographies ; ni le contenu de vos échanges avec les serveurs de Bluun. Avant l'envoi, l'application retire du message d'erreur les identifiants, les adresses électroniques, les nombres et les textes cités qu'il pourrait contenir. Votre adresse IP, nécessaire à l'acheminement du rapport, n'est pas conservée par le prestataire. L'application n'enregistre ni votre écran, ni vos gestes, ni la durée de vos utilisations.

Aucun rapport ne portant d'élément qui permette de vous identifier, l'éditrice n'est pas en mesure de retrouver ceux qui vous concernent (article 11 du RGPD).

Finalité : détecter et corriger les défauts qui interrompent l'application.

Base légale : l'intérêt légitime de l'éditrice (article 6.1.f du RGPD) : maintenir l'application en état de fonctionnement.

Durée de conservation : trente jours chez le prestataire, puis suppression automatique. L'éditrice n'en conserve aucune copie.

Article 3. Ce que Bluun ne collecte jamais

Ce point est un choix structurel du produit, pas une simple précaution rédactionnelle. Bluun ne collecte et ne demande jamais :

Cette absence structurelle de collecte est un élément de l'analyse exposée à l'article 10, sans en être la conclusion : l'éditrice traite certaines de vos données comme relevant des catégories particulières de l'article 9 du RGPD, et l'article 10 dit lesquelles et pourquoi.

Trois questions distinctes, qui ne se répondent pas ensemble, et qu'il faut donc séparer ici.

Ce qui reste hors du contrôle de l'éditrice : si vous choisissez librement d'écrire une information de santé dans un message à Alba (article 2.6), l'éditrice ne la sollicite jamais, mais ne peut techniquement pas empêcher que vous la mentionniez de votre propre initiative.

Article 4. Suivi corporel (mesures, composition, photos), un traitement entièrement local

Précision importante, ajoutée le 21 août 2026. Le présent article porte sur vos photos de suivi corporel (avant/après). Il ne porte pas sur la photographie d'un repas décrite à l'article 2.11, qui est la seule image de l'application à quitter votre téléphone. Les deux sont des photographies et n'ont pas le même régime : c'est pourquoi nous les traitons dans deux articles distincts.

Trois catégories de données ne sont jamais transmises à l'éditrice ni à ses prestataires, et restent sur votre téléphone :

Ces données :

Une réserve, et nous préférons l'écrire que la sous-entendre. Ces données sont enregistrées dans l'espace privé de l'application sur votre téléphone. Si vous avez activé la sauvegarde automatique de votre appareil, cet espace en fait partie, et vos mesures et vos photos sont donc copiées chez Apple ou chez Google avec le reste de votre téléphone. Cette copie ne relève pas de l'éditrice : elle est opérée par le fabricant de votre système, sous le contrat qui vous lie à lui, selon vos propres réglages, et l'éditrice n'y a aucun accès. Vous pouvez la désactiver dans les réglages de votre téléphone.

L'éditrice n'y a techniquement aucun accès. Il ne s'agit donc pas d'un traitement de données à caractère personnel réalisé par l'éditrice en tant que responsable de traitement au sens du RGPD : c'est un traitement que vous effectuez vous-même, sur votre propre appareil, pour un usage strictement personnel (article 2, paragraphe 2.c, du RGPD). Depuis le 21 juillet 2026, les serveurs de l'éditrice ne comportent plus aucun espace de stockage pour ces données : les tables qui pouvaient en accueillir ont été supprimées.

Trois points de vigilance que nous devons porter à votre connaissance :

Article 5. Base légale de chaque traitement

La fourniture des données mentionnées aux articles 2.1 et 2.2 est nécessaire à l'exécution du contrat qui vous lie à l'éditrice : sans elles, l'application ne peut pas calculer vos objectifs ni générer votre programme, et l'accès au service ne peut pas être assuré.

Article 6. Hébergement et sécurité des données

Vos données sont hébergées par Supabase, sur des serveurs physiquement situés dans l'Union européenne, en région eu-west-1 (Irlande), vérifié sur le projet de production le 2 juillet 2026.

Mesures de sécurité mises en œuvre : chiffrement des communications en HTTPS/TLS, restriction d'accès à la base de données par Row Level Security (RLS) au niveau de chaque table, de sorte que chaque utilisatrice n'accède techniquement qu'à ses propres données, mot de passe haché (jamais stocké en clair), et conservation des clés d'accès sensibles exclusivement côté serveur : la clé du modèle d'intelligence artificielle et la clé d'administration de la base ne sont jamais embarquées dans l'application installée sur votre appareil.

Des copies de sauvegarde de la base sont par ailleurs conservées en France, chez SCALEWAY SAS (région fr-par, Paris). Elles sont chiffrées avant de quitter l'hébergement principal, et la clé qui permet de les déchiffrer n'est détenue que par l'éditrice : ce prestataire ne peut pas lire le contenu des copies qu'il conserve. Leur durée de conservation est précisée à l'article 9.

Article 7. Sous-traitants et destinataires

7.1. Sous-traitants (article 28 du RGPD)

Les prestataires suivants traitent des données pour le compte de l'éditrice, sur ses instructions :

7.2. Destinataires responsables autonomes

Les acteurs suivants reçoivent certaines données à l'occasion de votre utilisation du service, mais les traitent pour leur propre compte, selon leurs propres politiques de confidentialité, en qualité de responsables de traitement autonomes :

Aucune plateforme d'affiliation n'est destinataire de données à la date de publication (cf. article 15). Si un programme d'affiliation est activé, l'identité de son opérateur sera portée au présent article.

Article 8. Transferts hors Union européenne

Vos données sont stockées principalement en Union européenne (Supabase, région Irlande). Les copies de sauvegarde chiffrées de la base sont hébergées en France, à Paris (Scaleway, région fr-par, cf. article 7.1) : elles ne font l'objet d'aucun transfert hors de l'Union européenne.

Cinq traitements impliquent un transfert ou un transit de données vers les États-Unis :

Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (article 46 du RGPD), intégrées aux contrats de sous-traitance (DPA) conclus avec chacun de ces prestataires. Le DPA Anthropic est effectif et archivé depuis le 4 juillet 2026. Le DPA RevenueCat sera confirmé et archivé avant l'ouverture commerciale.

Les rapports de plantage (article 2.14) sont stockés dans l'Union européenne, à Francfort. Le prestataire qui les reçoit est toutefois une société établie aux États-Unis, dont le personnel peut y accéder depuis ce pays, notamment pour la maintenance et l'assistance. Cet accès éventuel est encadré par la certification du prestataire au cadre de protection des données UE-États-Unis (Data Privacy Framework, décision d'adéquation de la Commission européenne du 10 juillet 2023), active à la date de la présente version et à renouveler au plus tard le 28 mai 2027 ; si cette certification cessait de s'appliquer, les clauses contractuelles types de son DPA prendraient le relais.

Apple et Google, destinataires responsables autonomes (article 7.2), mettent en œuvre leurs propres mécanismes de transfert, décrits dans leurs politiques de confidentialité respectives.

Article 9. Durées de conservation

Un compte qu'on n'ouvre plus a un terme, et il faut vous le dire. Un compte est supprimé lorsque deux ans se sont écoulés sans connexion et qu'aucun abonnement n'est actif ; le décompte part de la plus tardive de ces deux dates, de sorte qu'un abonnement en cours ne peut jamais être interrompu par cette règle. Vous êtes prévenue par courrier électronique trente jours avant, et une simple connexion pendant ce délai annule la suppression et remet le décompte à zéro. La suppression emprunte alors exactement le même chemin que celle que vous demanderiez vous-même, avec les mêmes effets (article 11).

La conservation de douze mois pour les conversations avec Alba répond au principe de minimisation des données (article 5.1.e du RGPD). Elle porte sur chaque message pris séparément, et non sur la conversation entière : une utilisatrice qui écrit à Alba chaque mois voit donc ses plus anciens messages disparaître, pendant que les récents restent. C'est ce qui donne son sens à la durée annoncée.

Article 10. Positionnement bien-être et qualification de vos données

Bluun est une application de bien-être. Elle ne revendique aucune finalité médicale, de diagnostic, de prévention ou de traitement d'une maladie au sens du règlement (UE) 2017/745 relatif aux dispositifs médicaux (MDR) ni du Code de la santé publique.

Les données que l'éditrice conserve sur ses serveurs pour faire fonctionner ce service sont votre année de naissance, votre taille, votre poids et son évolution, votre journal alimentaire, vos séances, les objectifs que l'application calcule et vos échanges avec Alba.

L'analyse de l'éditrice est que certaines de ces données doivent être traitées comme relevant des catégories particulières de l'article 9 du RGPD. Ce sont celles qu'énumère l'article 5 : la partie calcul de votre profil, votre journal alimentaire, vos pesées et vos séances, vos conversations avec Alba et la photographie d'un repas.

Le motif, dit simplement. Prise isolément, une taille ou une pesée n'est pas une donnée de santé, et la position établie en ce sens n'est pas contestée ici. Mais ce que l'application traite n'est pas une mesure isolée : c'est une suite de pesées dans le temps, croisée avec vos apports caloriques, un déficit et une date d'atteinte estimée. La CNIL donne précisément ce croisement en exemple de ce qui fait basculer des mesures ordinaires dans les catégories particulières. Pour les conversations avec Alba, le motif est différent et plus direct : vous pouvez y écrire librement un état de santé, ce que l'éditrice ne vous demande jamais et ne peut pas empêcher.

Ceci est une analyse de l'éditrice, et non un fait établi par un texte ou par une autorité. Elle est écrite comme telle, au titre de l'obligation de rendre compte de l'article 5.2 du RGPD, et elle est révisable si un texte ou une décision venait à dire autre chose. L'éditrice a interrogé la CNIL sur ce point ; celle-ci a répondu qu'il appartient au responsable de traitement de déterminer la qualification, sans la trancher à sa place. La position retenue est la plus protectrice des deux possibles.

Ce que cette qualification ne veut pas dire. Bluun n'est pas une application de santé, ne poursuit aucune finalité médicale et ne devient pas un dispositif médical : le RGPD qualifie une donnée, le règlement (UE) 2017/745 qualifie une finalité, et le Code de la santé publique qualifie un acte. Les trois questions sont distinctes, et seule la première change ici.

Ce qui ne change pas, et qui compte au moins autant : aucune de vos données n'est vendue ni utilisée à des fins publicitaires, aucune n'est transmise à un tiers en dehors des sous-traitants énumérés à l'article 7, votre suivi corporel reste sur votre téléphone, et aucune fonctionnalité n'est retirée par cette décision. Ce qu'elle ajoute est un consentement explicite, recueilli avant tout paiement, et retirable à tout moment (articles 5 et 11).

Vos mesures corporelles et votre composition corporelle ne sont pas concernées par cette analyse, pour une raison simple : Bluun ne les traite pas. Elles ne sont jamais transmises à l'éditrice ni à ses prestataires (article 4).

Bluun n'interprète par ailleurs aucune de vos mesures : aucun seuil médical, aucune appréciation (« normal », « à risque »), aucun score de risque ne vous est présenté. Vos chiffres ne sont comparés qu'à vos propres chiffres, dans le temps.

Bluun n'est pas hébergée sur une infrastructure certifiée Hébergeur de Données de Santé (HDS, article R.1111-10 du Code de la santé publique), ce qui est cohérent avec ce positionnement tant qu'aucune activité de prévention, de diagnostic ou de suivi médical n'est conduite.

Article 11. Vos droits sur vos données

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition, ainsi que du droit de retirer à tout moment votre consentement lorsqu'un traitement en dépend, sans que cela affecte la licéité du traitement effectué avant ce retrait.

Quatre actions sont directement intégrées à l'application :

Ce que la suppression de votre compte ne couvre pas, et nous préférons l'écrire. Deux choses lui survivent, pour deux raisons différentes.

Vous pouvez par ailleurs rectifier à tout moment, directement dans l'application, les données de votre profil (prénom, année de naissance, taille, objectifs, préférences d'entraînement) ainsi que chaque entrée de votre journal et chacune de vos pesées.

Une exception, et nous préférons l'écrire que vous la laisser découvrir : une séance déjà enregistrée, et la note que vous y avez écrite, ne se modifient ni ne se suppriment depuis l'application. Elles sont effacées avec votre compte, ou sur simple demande à contact@bluun.fr, qui est traitée dans le délai d'un mois indiqué ci-dessous. Vos droits de rectification et d'effacement s'exercent donc pleinement sur ces données, mais par écrit plutôt que par un écran.

Tous les autres droits s'exercent par email à contact@bluun.fr : droit d'accès à l'ensemble des données que l'éditrice détient sur vous, droit à la portabilité (remise dans un format structuré et couramment utilisé), droit à la limitation, droit d'opposition, demandes d'effacement partiel. L'éditrice s'engage à répondre dans un délai maximal d'un mois à compter de la réception de la demande, éventuellement prolongé de deux mois pour les demandes complexes, conformément à l'article 12.3 du RGPD. Un justificatif d'identité ne vous sera demandé qu'en cas de doute raisonnable sur l'identité de l'auteure de la demande.

Pour les demandes d'accès et de portabilité, vous recevez deux fichiers au format JSON, qui est un format structuré, couramment utilisé et lisible par une machine, accompagnés d'un résumé lisible indiquant ce que l'export contient et, tout aussi important, ce qu'il ne contient pas.

Article 12. Réclamation auprès d'une autorité de contrôle

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès d'une autorité de contrôle, sans préjudice de tout autre recours administratif ou juridictionnel.

L'éditrice étant établie en France, son autorité chef de file au sens de l'article 56 du RGPD est la Commission Nationale de l'Informatique et des Libertés :

Commission Nationale de l'Informatique et des Libertés (CNIL) 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 https://www.cnil.fr/fr/plaintes

Conformément à l'article 77 du RGPD, si vous résidez dans un autre État membre de l'Union européenne, ou si vous y travaillez, ou si la violation y a été commise, vous pouvez saisir l'autorité de contrôle de cet État, qui transmettra votre réclamation à l'autorité chef de file. Pour les pays où Bluun est proposée :

Belgique : Autorité de protection des données (APD) https://www.autoriteprotectiondonnees.be

Luxembourg : Commission nationale pour la protection des données (CNPD) https://cnpd.public.lu

Si vous résidez en Suisse, qui n'est pas membre de l'Union européenne, l'autorité compétente est le Préposé fédéral à la protection des données et à la transparence :

Préposé fédéral à la protection des données et à la transparence (PFPDT) https://www.edoeb.admin.ch

Article 13. Cookies, traceurs et mesure d'audience

L'application Bluun est une application native iOS et Android. Elle n'utilise pas de cookies au sens strict. Les données de session et de préférence sont stockées localement sur votre appareil.

Le site vitrine bluun.fr est un site statique hébergé par Cloudflare. Il n'utilise aucun cookie et ne dépose aucun traceur sur votre appareil. Depuis le 19 juillet 2026, il utilise Cloudflare Web Analytics, un outil de mesure d'audience fourni par l'hébergeur du site : cet outil fonctionne sans cookie et sans identifiant individuel, ne suit pas les visiteuses d'un site à l'autre, et ne produit que des statistiques agrégées (nombre de visites, pages consultées, pays d'origine). Il ne lit ni n'inscrit aucune information sur votre terminal : l'exigence de consentement préalable au dépôt ou à la lecture d'informations sur le terminal, qui résulte de l'article 5.3 de la directive 2002/58/CE et de ses transpositions nationales, ne s'applique donc pas, et aucun bandeau de consentement n'est requis.

L'application, elle, n'intègre aucun outil de mesure d'audience ni traceur publicitaire (aucun outil de type analytics comportemental, suivi inter-applications ou publicité tierce). Aucune demande de suivi au sens du cadre App Tracking Transparency (ATT) d'Apple n'est donc requise sur iPhone. Si cette situation venait à évoluer, la présente politique serait mise à jour avant l'activation de tout nouvel outil, et votre consentement serait recueilli si la réglementation ePrivacy l'exige.

Pour produire les rapports de plantage (article 2.14), l'application enregistre sur votre téléphone le rapport d'une erreur qui l'a fermée, le temps de l'envoyer à l'ouverture suivante, et lit à cette occasion les caractéristiques techniques décrites au même article. Ces opérations ne servent ni à mesurer votre usage, ni à vous suivre, ni à la publicité, et aucun identifiant n'en est transmis. L'éditrice considère qu'elles sont strictement nécessaires au fonctionnement du service que vous utilisez, au sens de l'article 82 de la loi n° 78-17 du 6 janvier 1978, et ne recueille donc pas de consentement pour elles.

Article 14. Décisions automatisées et profilage

Les objectifs caloriques, les macronutriments et le programme d'entraînement que Bluun vous propose résultent d'un calcul de personnalisation à partir des données de votre profil. L'application lit également les répétitions que vous avez enregistrées lors de vos séances précédentes et peut, sur cette seule base, vous signaler qu'une charge paraît trop lourde et vous proposer de l'alléger.

Ces calculs n'emportent aucune décision produisant des effets juridiques vous concernant ou vous affectant de manière significative au sens de l'article 22 du RGPD : il s'agit de recommandations informatives, que vous restez libre de suivre, d'ajuster ou d'ignorer à tout moment depuis l'application. Aucune valeur ne vous est imposée : tous les champs concernés restent modifiables.

Le choix d'une réponse écrite à l'avance par Alba (article 2.6) ne produit pas davantage d'effet juridique : c'est une précaution, qui oriente vers une personne qualifiée ou vers les secours, et vous pouvez toujours poser une autre question.

Il en va de même de l'estimation produite à partir d'une photographie de repas (article 2.11) : elle vous est présentée comme une proposition à corriger, sur un écran dédié, et rien ne peut entrer dans votre journal sans que vous l'ayez validée. Aucune donnée n'est écrite automatiquement à partir d'une image.

Conformément à l'article 50 du règlement (UE) 2024/1689 sur l'intelligence artificielle, l'application vous indique clairement, au moment où vous l'utilisez, que cette fonction repose sur un système d'intelligence artificielle et que le résultat qu'elle produit est une estimation approximative, et non une mesure. Elle vous en annonce également l'ordre de grandeur de l'écart attendu par rapport à une pesée.

Article 15. Affiliation commerciale et liens vers des sites tiers

La page Sélection Bluun contient des liens vers des sites marchands tiers (matériel sportif, balances, nutrition), au titre de programmes d'affiliation. Aucun programme n'est actif à la date de publication.

Lorsque vous cliquez sur l'un de ces liens, vous quittez l'application Bluun et êtes redirigée vers le site du marchand tiers. Ce site tiers applique sa propre politique de confidentialité et ses propres traceurs, hors du contrôle de l'éditrice. Nous vous invitons à la consulter avant tout achat. L'éditrice ne transmet elle-même aucune de vos données personnelles (email, profil, journal) à l'opérateur d'un programme d'affiliation ni aux marchands partenaires : le lien d'affiliation permet uniquement d'attribuer une commission à l'entreprise Reelle en cas d'achat, selon un mécanisme technique propre à cet opérateur.

Les modalités complètes de cette affiliation (bandeau de transparence, annonceurs concernés) sont décrites dans les Mentions légales, article 10, et les CGV, article 10.

Article 16. Application réservée aux personnes majeures

L'inscription à Bluun est réservée aux personnes majeures, c'est-à-dire âgées d'au moins 18 ans. Bluun ne collecte volontairement aucune donnée concernant des personnes mineures. Si vous constatez qu'un compte a été créé par une personne mineure, merci de nous le signaler à l'adresse de contact de l'article 19 : le compte et les données associées seront supprimés dans les meilleurs délais.

L'application demande votre année de naissance à l'inscription, et refuse une année qui donne moins de dix-huit ans.

Si un message adressé à Alba indique un âge de moins de dix-huit ans, Alba répond par une réponse écrite à l'avance (article 2.6), qui oriente vers un adulte de confiance, un médecin ou une ligne d'écoute. Pendant les deux heures qui suivent ce message, les questions sur l'alimentation, le poids, le corps ou l'exercice ne reçoivent qu'une réponse écrite à l'avance, et aucun élément de votre profil n'est transmis au fournisseur du modèle. Un nouveau message qui indique un âge de moins de dix-huit ans ouvre de nouveau ces deux heures. Si vous êtes majeure et que vous vous êtes trompée en écrivant, il suffit d'écrire votre âge : Alba reprend aussitôt. Quand un message laisse seulement penser que vous avez moins de dix-huit ans (un niveau scolaire, par exemple), Alba vous demande votre âge avant de répondre sur ces sujets, pendant deux heures au plus.

Ce message à Alba n'est pas un signalement à l'éditrice : elle ne lit pas vos conversations, hors des cas de l'article 2.6, et votre compte n'est pas supprimé pour ce motif. Pour signaler un compte créé par une personne mineure, écrivez à l'adresse de contact de l'article 19.

Article 17. Sort de vos données après votre décès

Conformément à l'article 85 de la loi française n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés), les utilisatrices résidant en France peuvent définir des directives relatives à la conservation, à l'effacement et à la communication de leurs données après leur décès. Les utilisatrices résidant dans un autre pays peuvent adresser à l'éditrice toute directive équivalente, que celle-ci appliquera dans la mesure permise par le droit applicable. Ces directives peuvent être adressées à l'éditrice à l'adresse de contact de l'article 19, ou enregistrées auprès d'un tiers de confiance numérique certifié, pour des directives générales valables auprès de plusieurs services.

Article 18. Modification de la présente politique

L'éditrice se réserve le droit de modifier la présente politique de confidentialité. En cas de modification substantielle, vous serez informée par notification in-app ou par email au moins 15 jours avant l'entrée en vigueur. L'utilisation continue de l'application après cette date vaut acceptation de la politique modifiée.

Article 19. Contact

Pour toute question relative à la présente politique ou pour exercer vos droits :

Email : contact@bluun.fr

Adresse postale : Reelle, Muriel GAGNOL, 59 rue de Ponthieu, Bureau 326, 75008 Paris

Article 20. Utilisatrices résidant en Suisse

Bluun est également proposée en Suisse. Pour les utilisatrices qui y résident, la loi fédérale sur la protection des données du 25 septembre 2020 (LPD), en vigueur depuis le 1er septembre 2023, s'applique en parallèle du RGPD. Les informations et les droits décrits dans la présente politique valent pour l'une comme pour l'autre, avec les précisions suivantes.

20.1. Responsable du traitement et représentation. Le responsable du traitement est celui identifié à l'article 1. L'éditrice n'a pas désigné de représentant en Suisse au sens de l'article 14 LPD. Cette obligation suppose quatre conditions cumulatives, dont un traitement de grande ampleur, condition qui n'est pas remplie au stade actuel de l'activité. L'éditrice réexamine cette analyse à intervalle régulier et désignera un représentant si les quatre conditions venaient à être réunies. Vous pouvez la joindre directement à contact@bluun.fr.

20.2. Information (art. 19 et 20 LPD). L'identité et les coordonnées du responsable du traitement figurent à l'article 1, les finalités aux articles 2 et 5, les destinataires à l'article 7. Les données sont hébergées dans l'Union européenne, en Irlande. Elles sont en outre communiquées aux États-Unis d'Amérique pour les traitements décrits à l'article 8, et à aucun autre État. La France et les États de l'Espace économique européen figurent parmi les États dont le Conseil fédéral reconnaît qu'ils assurent une protection adéquate ; les communications vers les États-Unis sont encadrées par des garanties contractuelles décrites à l'article 8.

20.3. Vos droits (art. 25 à 29 LPD). Vous disposez du droit d'accès à vos données, du droit d'en obtenir la remise ou la transmission dans un format électronique courant, du droit d'en demander la rectification, l'effacement ou la destruction, et du droit de vous opposer à un traitement. Ces droits s'exercent selon les modalités de l'article 11 de la présente politique, sans frais et dans un délai d'un mois.

20.4. Décision individuelle automatisée (art. 21 LPD). Aucune décision reposant exclusivement sur un traitement automatisé et produisant des effets juridiques ou vous affectant de manière significative n'est prise à votre égard, pour la raison exposée à l'article 14.

20.5. Consentement exprès pour les données sensibles (art. 6 LPD). La loi fédérale range les données sur la santé parmi les données sensibles et exige, lorsque le consentement sert de justification à leur traitement, qu'il soit exprès. Le consentement décrit à l'article 5 de la présente politique répond à cette exigence : il est recueilli par une case distincte, jamais cochée d'avance, dont le libellé nomme les données concernées et la finalité poursuivie, et il est conservé avec le texte exact qui vous a été présenté. Il vaut donc consentement explicite au sens de l'article 9.2.a du RGPD et consentement exprès au sens de la LPD, sans démarche supplémentaire de votre part.

20.6. Autorité de contrôle. Le Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, https://www.edoeb.admin.ch.

Article 21. Violation de la sécurité de vos données

En cas de violation de la sécurité de vos données à caractère personnel, l'éditrice la notifie à la Commission Nationale de l'Informatique et des Libertés dans les 72 heures dès qu'elle en a connaissance, conformément à l'article 33 du RGPD, sauf si la violation n'est pas susceptible d'engendrer un risque pour vos droits et libertés. Lorsque la violation est susceptible d'engendrer un risque élevé, elle vous en informe directement, dans les meilleurs délais, conformément à l'article 34 du RGPD. Pour les utilisatrices résidant en Suisse, la même violation est en outre annoncée au Préposé fédéral à la protection des données et à la transparence, conformément à l'article 24 de la loi fédérale sur la protection des données.