TempoLife — Politique de confidentialité

Responsable du traitement

Le responsable du traitement de vos données personnelles est :

• Développeur : équipe TempoLife / Probyte OÜ
• Application : TempoLife (org.tyrnpuu.medix)
• E-mail : info@tempolife.app
• Site web : tempolife.app

La présente politique de confidentialité décrit comment l’application TempoLife collecte, utilise, conserve et protège vos données personnelles conformément au Règlement général sur la protection des données de l’UE (RGPD, règlement 2016/679) et à la loi estonienne sur la protection des données personnelles.

Données que nous collectons

2.1 Données de compte et d’identité

• Nom et e-mail (à l’inscription ou via Google Sign-In)
• Photo de profil (facultative)
• Date de naissance, sexe, taille, poids — uniquement si vous les fournissez volontairement

2.2 Données de santé (RGPD art. 9 — catégorie particulière)

• Journaux alimentaires (calories, macronutriments, photos)
• Pas, activité physique, séances d’entraînement
• Durée et phases de sommeil, heure de réveil
• Humeur, niveau de stress et notes de bien-être
• Poids corporel et fenêtres de jeûne
• Fréquence cardiaque (via Health Connect)

2.3 Données techniques

• Type d’appareil, système d’exploitation, version de l’application (en-tête User-Agent)
• Adresse IP (journaux serveur, conservés 90 jours maximum)
• Identifiant de session (session PHP, jeton CSRF)

2.4 Ce que nous NE collectons PAS

• Historique de localisation ou localisation en arrière-plan — la recherche facultative de restaurants utilise votre position uniquement pendant la recherche et ne la conserve pas (voir section 2g)
• Identifiants d’appareil (IMEI, identifiant publicitaire, MAC)
• Contacts, journaux d’appels, SMS
• Données d’autres applications — à une exception près : si vous connectez Android Health Connect, nous lisons les types de données que vous avez expressément autorisés (voir section 2a)
• Votre galerie photo — l’accès à l’appareil photo et aux images sert uniquement à une photo de repas que vous prenez ou choisissez vous-même (voir section 2b)

Android Health Connect

Sous Android, TempoLife peut lire des données de santé et de forme depuis Health Connect, le magasin de données intégré à Android. Cela est entièrement facultatif. Rien n’est lu tant que vous n’avez pas connecté Health Connect dans l’application et accordé l’autorisation pour chaque type de données séparément sur l’écran d’autorisations d’Android.

Ce que nous lisons

• Pas — nombre de pas quotidiens
• Sommeil — sessions et phases de sommeil (profond, léger, paradoxal, éveil)
• Fréquence cardiaque — mesures de fréquence cardiaque
• Fréquence cardiaque au repos — mesures calculées par le fournisseur
• Variabilité de la fréquence cardiaque (VFC, RMSSD) — une valeur en millisecondes utilisée pour les tendances de récupération
• Séances d’entraînement — type, début, fin et durée
• Poids corporel — mesures de poids

Nous demandons un accès en lecture seule. TempoLife n’écrit rien dans Health Connect.

Pourquoi l’application en a besoin

Ces types de données alimentent les écrans principaux de l’application : totaux de pas et d’activité, analyses du sommeil, tendance de poids, ainsi qu’un écran Cœur dédié avec la dernière mesure, une référence personnelle de fréquence cardiaque au repos sur 28 jours, le contexte d’activité, de sommeil, de jeûne, de méditation et d’humeur, les zones d’entraînement et la récupération cardiaque, ainsi qu’un aperçu non médical de la récupération fondé sur la fréquence cardiaque au repos, la VFC, le sommeil et la charge d’entraînement récente. Sans Health Connect, ces données ne peuvent pas être renseignées automatiquement.

D’où proviennent les données

Health Connect est un magasin situé sur votre propre appareil, dans lequel d’autres applications et appareils écrivent — par exemple Samsung Health ou Garmin. TempoLife lit ce qui s’y trouve déjà. L’application ne se connecte pas directement à ces services et ne peut rien voir au-delà des types de données que vous avez autorisés. Health Connect fonctionne sur votre appareil ; le fait de le connecter n’envoie pas vos données à Google.

Quelle profondeur d’historique

Si vous accordez séparément l’accès à l’historique, TempoLife peut lire jusqu’aux 12 derniers mois de données de pas, de sommeil et de poids. Le module Cœur lit jusqu’à 35 jours de fréquence cardiaque au repos et de VFC pour sa référence, et jusqu’à 30 jours de séances. Sans accès à l’historique, Health Connect limite les lectures historiques à environ 30 jours. Comme les objets connectés peuvent produire des milliers de mesures, l’import général de fréquence cardiaque est limité aux 7 derniers jours ; des mesures plus denses sont conservées autour des entraînements récents afin de calculer les zones et la récupération cardiaque à 1 et 2 minutes. Les synchronisations ultérieures ne lisent que les enregistrements nouveaux ou modifiés, avec un court recouvrement.

Où elles sont conservées

Les données lues depuis Health Connect sont transmises en HTTPS/TLS et conservées dans votre propre compte TempoLife sur nos serveurs en Estonie (UE), exactement comme les données que vous saisissez manuellement. Elles ne sont visibles que par vous.

Ce que nous n’en faisons jamais

• Les données Health Connect ne sont jamais utilisées à des fins publicitaires ou marketing, pour de la publicité personnalisée ou par centres d’intérêt, ni pour constituer des audiences publicitaires.
• Elles ne sont jamais partagées avec des régies publicitaires, des plateformes publicitaires, des courtiers en données ou des revendeurs d’informations.
• Elles ne sont jamais vendues, à quiconque et pour quelque finalité que ce soit.
• Elles ne sont jamais incluses dans un événement d’analyse ou de publicité envoyé par l’application.
• Elles ne sont transmises à aucun tiers pour les finalités propres de ce tiers.

Retirer l’accès

• Dans l’application : déconnectez Health Connect dans les paramètres. TempoLife cesse alors de lire de nouvelles données.
• Sur votre appareil : Android Paramètres → Health Connect → Autorisations des applications → TempoLife, où vous pouvez retirer des types de données individuels ou tout l’accès d’un coup. Health Connect tient également son propre journal des applications ayant lu vos données.

Le retrait met fin à toute lecture future. Les données déjà synchronisées restent dans votre compte TempoLife afin que votre historique ne soit pas perdu silencieusement — vous pouvez l’exporter à tout moment (section 8), et il est définitivement supprimé lorsque vous supprimez votre compte (section 8a).

Appareil photo et photos de repas

TempoLife demande l’accès à l’appareil photo dans un seul but : photographier un repas afin qu’il soit reconnu automatiquement plutôt que saisi à la main. Vous pouvez aussi choisir une image existante au lieu d’en prendre une. L’autorisation n’est demandée qu’à la première utilisation de la fonction, et l’application ne prend jamais de photos en arrière-plan.

La photo quitte votre appareil

La reconnaissance des aliments n’a pas lieu sur votre téléphone. Après votre confirmation, la photo est envoyée en HTTPS à un service d’IA visuelle tiers — Google (Gemini) comme fournisseur principal, avec Anthropic (Claude AI) en secours — qui renvoie les aliments identifiés et leurs valeurs nutritionnelles estimées. Il s’agit d’un transfert de vos données à un tiers en dehors de l’application, et il n’a lieu qu’après votre accord explicite dans la boîte de dialogue de l’application. Si vous refusez, aucune photo n’est jamais envoyée et vous pouvez toujours enregistrer vos repas manuellement.

Ce qu’il advient de la photo

• Les métadonnées EXIF et GPS sont supprimées de l’image avant l’envoi.
• La photo n’est envoyée qu’au moment de la requête et est ensuite supprimée des serveurs du fournisseur en vertu de nos accords avec lui (voir section 4).
• Pour un traitement d’IA ordinaire, seuls l’entrée alimentaire obtenue et les valeurs nutritionnelles sont conservées. Une copie d’archive publique, soumise à un consentement distinct, constitue l’exception décrite à la section 2e.
• Les photos de repas ne sont jamais utilisées à des fins publicitaires ni vendues.

Consentement de l’aperçu anonyme et garde-fous anti-abus

Pour l’aperçu sans compte, nous conservons pendant 2 jours au maximum uniquement un sujet réseau pseudonyme, limité à la journée et dérivé à l’aide d’une clé secrète, la version du consentement et l’heure de l’événement. Cet enregistrement ne contient ni photo, ni résultat d’IA, ni entrée alimentaire, ni identifiant publicitaire, ni compte, et n’est jamais rapproché d’analyses marketing. La base de la preuve de consentement est votre consentement pour chaque utilisation et notre obligation de le démontrer (RGPD art. 6, par. 1, point a, et art. 7) ; la limitation du nombre de requêtes repose sur notre intérêt légitime à prévenir les abus du service et des coûts d’IA disproportionnés (art. 6, par. 1, point f).

L’aperçu étant sans compte, cet enregistrement ne peut être rattaché à un export de compte ni utilisé de manière fiable par nous pour identifier une personne. Il est supprimé automatiquement sous 2 jours. Pour exercer un droit ou vous opposer, contactez l’adresse indiquée à la section 12 ; nous vous expliquerons cette limite pratique et honorerons une demande vérifiable dans toute la mesure du possible.

Vous pouvez retirer l’accès à l’appareil photo à tout moment dans Android Paramètres → Applications → TempoLife → Autorisations. Le reste de l’application continue de fonctionner normalement.

Communauté et Tempo Feed

La communauté est facultative. Si vous ne l’utilisez pas, aucune de vos données n’est partagée avec d’autres utilisateurs.

Ce que les autres peuvent voir

• Profil : votre nom affiché, l’emoji choisi, le niveau et les points.
• Classement : nom, niveau et total de points. Vous pouvez vous en retirer (Communauté → Confidentialité).
• Défis : votre participation et votre progression dans les défis que vous rejoignez.
• Messages : ce que vous choisissez d’envoyer. Les messages ne peuvent être échangés qu’entre amis.
• Feed : publications, stories, photos, sondages, commentaires, réactions et relations d’abonnement que vous créez. Vous choisissez l’audience de chaque publication ou story.

Rien de vos journaux de santé n’est partagé automatiquement. Si vous activez séparément une catégorie d’activité dans les paramètres du Feed, vos abonnés peuvent voir un résumé limité tel qu’un total de pas, un nombre de repas enregistrés, une durée de sommeil ou de jeûne, une réussite, ou le fait qu’une pesée a eu lieu. Le poids exact, les lignes de journal, les notes, les itinéraires, l’humeur, la fréquence cardiaque et les autres données Health Connect ne sont pas affichés.

Signalement et blocage

Chaque profil dispose des fonctions Bloquer et Signaler. Le blocage interrompt l’interaction dans les deux sens. Lorsque vous signalez un contenu, nous enregistrons l’auteur du signalement, une référence au contenu signalé et votre motif, afin de pouvoir l’examiner et, si nécessaire, retirer le contenu ou suspendre des comptes.

Conservation

Les messages, publications et autres contenus communautaires sont conservés jusqu’à ce que vous supprimiez le contenu ou votre compte. Les stories expirent après 24 heures ; les photos de feed non rattachées sont normalement supprimées sous deux heures. La suppression de votre compte efface votre profil communautaire, vos messages, vos médias et vos enregistrements communautaires comme décrit dans « Suppression des données ».

Défi Daily Plan (campagne de 100 €)

Le Défi Points est facultatif. Si vous n’y participez pas, aucune de vos données n’est traitée pour la campagne.

Quelles données la campagne utilise

• Données de score : le planning de repas figé au moment de votre inscription, le respect du plan de repas, ainsi que le type et l’horodatage de chaque action vérifiée. Les calories, le poids, le nombre de pas et la durée de sommeil n’augmentent pas le score.
• Données de classement : votre nom affiché, le total de points, les points de régularité des repas, le nombre d’actions vérifiées et les jours actifs. Le retrait du classement (Communauté → Confidentialité) s’applique aussi à la campagne.
• En cas de gain : vos coordonnées (e-mail) pour le versement du prix.

La campagne ne collecte aucune donnée nouvelle — elle n’utilise que les données que vous enregistrez déjà dans l’application — et ne les partage ni avec des tiers ni avec des régies publicitaires.

Base légale et conservation

Les données de campagne sont traitées sur la base de votre consentement (inscription) et de l’exécution du règlement de la campagne (contrat). Les enregistrements de campagne sont conservés jusqu’à la suppression de votre compte ; les données liées au versement sont conservées pendant la durée requise par la législation comptable. Dans le tableau d’honneur, nous ne conservons que votre nom affiché et un résultat synthétique.

Publication publique optionnelle, agrégats et outils publics

Carte de repas publique, galerie, photo du jour et tirage au sort

Les photos de repas traitées ordinairement par IA ne sont pas conservées sur les serveurs de TempoLife. Ce n’est qu’après un consentement distinct à l’archive web publique que le serveur crée une copie JPEG débarrassée de ses métadonnées ainsi qu’une carte de partage publique. Les champs publics peuvent comprendre la photo, le nom de l’aliment, votre description, le contenu de la carte et le jeton de partage ; les compteurs anonymes de consultations et de tentatives ne sont pas publiés comme indicateurs d’engagement. La copie peut apparaître dans la galerie, dans des données structurées indexées par les moteurs de recherche et dans la rotation de la photo du jour. La carte expire au bout de 90 jours au maximum ; un nettoyage automatique supprime les fichiers expirés et orphelins, mais une défaillance d’exploitation peut retarder la suppression physique jusqu’au nettoyage réussi suivant. Un artefact de photo du jour est valable 36 heures au maximum.

La participation au tirage au sort de la semaine ISO concernée et l’affichage du nom d’une personne gagnante sont des choix supplémentaires, liés à la version exacte approuvée du règlement, à l’empreinte des conditions essentielles et à l’engagement de tirage de ce tour. La participation n’est pas possible avant la publication, antérieure à l’ouverture, d’une empreinte à usage unique du secret de tirage. La vérification de l’admissibilité lit la date de naissance, le pays et le rôle du compte afin d’appliquer l’âge minimum publié, la liste des pays et l’exclusion du personnel ; ces champs du profil ne figurent pas dans l’artefact de tirage. Après la clôture, l’audit public publie la révélation du secret, une liste triée de clés de participation pseudonymisées dérivées de cette semaine et des jetons des cartes publiques, l’empreinte de la liste et la clé gagnante ; il ne publie ni les identifiants de compte ni les jetons d’origine eux-mêmes. Le consentement ne se reporte pas sur une autre semaine ni sur des conditions modifiées. Vous pouvez retirer un élément ou la totalité dans les paramètres de l’archive publique. Un retrait supprime immédiatement la publication sur TempoLife et tente d’effacer le fichier JPEG et les champs publics ; une marque de révocation subsiste jusqu’à 100 jours afin que les artefacts de TempoLife ne puissent pas le republier. Les navigateurs, serveurs proxy, moteurs de recherche ou autres destinataires peuvent conserver une copie mise en cache pendant que l’élément était public. La suppression du compte retire immédiatement les cartes publiques et les copies détenues par TempoLife.

Agrégats publics

Les agrégats régionaux et d’activité ont des réglages distincts. Ils ne sont publiés qu’à partir de 20 comptes consentants au minimum et utilisent des périodes achevées ou différées ainsi que des tranches arrondies. Le tableau régional omet les points et les séries. Les noms, les identifiants de compte, les repas individuels et les données de santé n’entrent jamais dans la sortie agrégée publique. Un retrait exclut le compte du calcul suivant.

Comparaison entre estimation et étiquette

Une paire volontaire contient une estimation de calories modifiable, la valeur de l’étiquette de l’emballage pour la même portion, une note optionnelle et les heures d’attestation et de consentement. Le résultat public ne couvre que le mois achevé précédent : une paire par personne contributrice, au moins 100 personnes contributrices, des comptages arrondis à l’inférieur par 25 et des indicateurs arrondis à l’unité. Les paires individuelles ne sont pas publiées. Un retrait en un clic efface immédiatement la note et les valeurs caloriques, en ne laissant qu’un marqueur d’audit de la révocation jusqu’à la suppression du compte.

Extension Firefox et recherche d’aliments

L’extension n’envoie à l’API alimentaire de TempoLife que le terme de recherche saisi ou l’identifiant de l’aliment sélectionné. Elle n’envoie aucune page visitée, aucun contenu de page, aucun cookie ni aucun compte TempoLife. Firefox conserve localement jusqu’à cinq noms d’aliments récents. Les journaux de sécurité de TempoLife peuvent recevoir le terme de recherche, l’adresse IP, l’agent utilisateur et l’heure de la requête pendant 90 jours au maximum.

Badge WordPress et avis Google Play

Le plugin WordPress ne demande que /counter.php?format=json. TempoLife reçoit l’adresse IP du serveur WordPress, l’agent utilisateur du plugin et l’heure de la requête (journaux de sécurité, jusqu’à 90 jours), mais aucun cookie de visiteur, aucune adresse IP de visiteur et aucune URL de page. La page des avis peut republier le texte public d’un avis, après nettoyage des coordonnées, accompagné de sa note et du lien Play obtenus auprès de l’API officielle Google Play Android Publisher ; le nom de la personne auteure est omis et les instantanés de plus de 72 heures ne sont pas affichés.

Calculateur de portions Telegram

Dans un navigateur ordinaire, le calculateur ne contacte pas Telegram. Lorsqu’il est lancé avec des paramètres de Telegram Mini App, il charge le SDK de Telegram depuis telegram.org, ce qui fournit à Telegram les métadonnées habituelles de la requête (y compris l’adresse IP et l’agent utilisateur) et permet à son JavaScript de s’exécuter sur cette page de calculateur. Dans cet outil, TempoLife ne lit ni l’identité Telegram ni les champs de données d’initialisation.

La publication optionnelle repose sur votre consentement (RGPD art. 6, par. 1, point a) ; les journaux de sécurité et d’exploitation reposent sur l’intérêt légitime à protéger le service (art. 6, par. 1, point f). Votre export de portabilité comprend vos cartes de partage, les JPEG publics restants, les paires de comparaison et les enregistrements de révocation.

Variante de configuration rapide

Un nouveau compte peut être affecté à une variante de configuration rapide ou standard. Nous conservons uniquement le lien vers le compte, la variante, un groupe pseudo-aléatoire déterministe dérivé du compte, et l’heure d’affectation, afin que la même personne bénéficie d’une expérience cohérente pendant toute la configuration. Nous ne créons pour ce test aucun événement distinct de vue, de clic, de repas, de photo, de santé, de publicité ou de campagne ; son résultat n’est évalué qu’à partir du taux global d’achèvement de la configuration de profil existante.

L’enregistrement n’est transmis ni à Google Analytics ni à aucun autre tiers et n’est pas utilisé à des fins publicitaires. La base légale est notre intérêt légitime à réduire les frictions inutiles lors de la configuration au moyen d’un test minimal et respectueux de la vie privée (RGPD art. 6, par. 1, point f) ; nous documentons la mise en balance avant activation. Vous pouvez vous y opposer pour des raisons tenant à votre situation particulière via le contact indiqué à la section 12. Une affectation à configuration inachevée est supprimée au bout de 30 jours et une affectation à configuration terminée au bout de 90 jours ; elle est supprimée immédiatement lors du traitement d’une demande d’effacement de compte et figure dans l’export de données jusqu’à sa suppression.

Localisation (optionnelle)

La localisation est optionnelle et désactivée jusqu’à ce que vous l’activiez vous-même. TempoLife ne la demande que lorsque vous appuyez sur Utiliser ma position sous les résultats de restaurants de la recherche d’aliments — jamais à l’ouverture de l’application, et jamais en arrière-plan.

À quoi elle sert

À afficher les menus de restaurant qui correspondent à l’endroit où vous vous trouvez : le menu du pays où vous êtes (par exemple celui de McDonald’s Estonie plutôt que celui du Royaume-Uni), les restaurants proches de vous étant listés en premier.

Ce qui advient de votre position

• Votre appareil arrondit la position à environ 100 mètres et ne l’envoie à notre serveur, en HTTPS, que pendant la recherche.
• Notre serveur l’utilise pour cette recherche et ne la conserve pas — ni dans votre compte, ni dans votre journal, ni dans nos journaux techniques.
• Pour savoir quels restaurants se trouvent à proximité, notre serveur interroge le service public OpenStreetMap (Overpass API, exploité par FOSSGIS e.V., Allemagne) sur les lieux situés dans le carré de carte environnant d’environ 1 km, plus une marge. Seul ce carré de carte est transmis, depuis l’adresse propre de notre serveur et sans rien qui permette de vous identifier ni de connaître votre position exacte.
• La liste des restaurants de ce carré de carte constitue des données cartographiques, et non des données vous concernant. Nous la conservons jusqu’à 14 jours afin que la recherche suivante soit rapide, et la supprimons lorsque personne n’y a effectué de recherche pendant 60 jours.
• Votre appareil ne retient que le fait que vous avez activé ou désactivé la fonction.

Désactivation

Appuyez sur Désactiver sous les résultats de restaurants, ou retirez l’autorisation dans Android sous Paramètres → Applications → TempoLife → Autorisations (dans un navigateur : dans les paramètres du site). La recherche d’aliments continue de fonctionner et utilise alors le pays de votre compte.

La base légale est votre consentement (RGPD art. 6, par. 1, point a), que vous donnez en activant la fonction et en accordant l’autorisation, et que vous pouvez retirer à tout moment comme décrit ci-dessus. Données cartographiques © les contributeurs d’OpenStreetMap (ODbL).

Utilisation des données (finalité et base légale)

Recherche d’aliments : lorsque vous recherchez un aliment, nous enregistrons le texte que vous avez saisi (jusqu’à 120 caractères), la langue de l’application, le nombre de résultats provenant de notre propre base d’aliments et celui provenant de la base de produits emballés, ainsi que le fait que vous ayez ou non enregistré un aliment dans les 15 minutes suivantes. Cela poursuit une seule finalité : repérer les recherches qui ne renvoient rien afin de les corriger. L’enregistrement est lié à votre compte, n’est transmis ni à Google Analytics ni à aucun autre tiers, et n’est jamais utilisé à des fins publicitaires ou de profilage. La base légale est notre intérêt légitime à disposer d’une recherche d’aliments qui trouve effectivement des aliments (RGPD art. 6, par. 1, point f) ; vous pouvez vous y opposer pour des raisons tenant à votre situation particulière via le contact indiqué à la section 12. Les enregistrements sont supprimés automatiquement au bout de 90 jours, supprimés immédiatement lors du traitement d’une demande d’effacement de compte, et inclus dans l’export de données de l’utilisateur jusqu’à leur suppression.

TempoLife n’utilise jamais vos données à des fins publicitaires, de profilage ou de vente à des tiers. Cela vaut en particulier pour les données de santé et de forme lues depuis Android Health Connect, qui ne sont jamais utilisées à des fins publicitaires, jamais partagées avec des régies publicitaires ou des courtiers en données, et jamais vendues.

Pas un dispositif médical

TempoLife est une application générale de bien-être et de mode de vie. Ce n’est pas un dispositif médical et elle n’est pas destinée à diagnostiquer, traiter, guérir ou prévenir une maladie ou un état de santé.

Tout ce que l’application affiche — tendances, scores, résumés et suggestions générés par IA, ainsi que toute valeur lue depuis Health Connect ou un traqueur connecté — est fourni à titre d’information générale et de suivi personnel uniquement. Il ne s’agit pas d’un avis médical et cela ne doit pas servir de base à un diagnostic ou à un traitement, ni au démarrage, à l’arrêt ou à la modification d’un médicament ou d’une thérapie.

Des valeurs telles que les estimations de calories et de nutriments issues de la reconnaissance photo, les phases de sommeil et les mesures de fréquence cardiaque proviennent de capteurs grand public et de modèles automatisés et peuvent être inexactes. Consultez toujours un professionnel de santé qualifié pour un avis médical, un diagnostic ou un traitement. En cas d’urgence, appelez votre numéro d’urgence local (112 dans l’UE) — ne vous fiez pas à cette application.

Sous-traitants tiers

Vos données ne peuvent être traitées que par les prestataires suivants, avec lesquels nous avons conclu des accords de sous-traitance (DPA) :

Les photos de repas sont envoyées à Google Gemini AI (ou, en secours, à Anthropic Claude AI) uniquement pour la requête, puis supprimées chez le prestataire. Les photos sélectionnées via le parcours IA ordinaire de l’application ne sont pas conservées sur nos serveurs. Font exception le JPEG d’archive publique soumis à un consentement distinct (section 2e) et un JPEG temporaire sans métadonnées créé par la fonction facultative de partage PWA : ce dernier n’est conservé que pour le transfert, n’est pas envoyé automatiquement à une IA, et est supprimé en moins de 10 minutes ou immédiatement après sa récupération unique. Les métadonnées EXIF/GPS sont supprimées.

Les données lues depuis Android Health Connect (pas, sommeil, poids, fréquence cardiaque, fréquence au repos, VFC et entraînements) sont conservées dans votre compte TempoLife sur nos propres serveurs en Estonie. Elles ne sont jamais partagées avec des régies publicitaires, des plateformes publicitaires, des courtiers en données ou des revendeurs d’informations, ni jamais vendues. Si vous utilisez les fonctions d’IA facultatives — par exemple le coach IA ou un résumé de tendances — les valeurs nécessaires pour répondre à cette requête précise peuvent être envoyées au prestataire d’IA indiqué ci-dessus, pour cette seule requête et sur la base de votre consentement. Elles ne sont jamais transférées pour les finalités propres du prestataire ni à des fins publicitaires.

Transferts internationaux de données

Certains services (Google Gemini, Anthropic Claude, ElevenLabs) sont établis aux États-Unis. Les données ne sont transférées que sur la base des clauses contractuelles types (CCT) approuvées par la Commission européenne, du cadre de protection des données UE–États-Unis ou d’autres garanties prévues au chapitre V du RGPD.

En cliquant sur « J’accepte » dans la boîte de dialogue du service d’IA, vous donnez un consentement explicite et spécifique à ce transfert (RGPD art. 49, par. 1, point a).

Durée de conservation

Vos données ne sont conservées que le temps nécessaire à la fourniture du service :

• Compte actif : les données de compte sont conservées jusqu’à leur suppression, sauf durée plus courte prévue par la présente politique
• Suppression du compte (RGPD art. 17) : les données personnelles sont anonymisées immédiatement ; les journaux associés sont entièrement supprimés sous 30 jours
• Journaux serveur (IP, UA) : 90 jours maximum
• Codes de vérification par e-mail : 15 minutes ou jusqu’à utilisation
• Identifiants de lien magique : le lien est valable 15 minutes ; la ligne contenant l’adresse e-mail et l’empreinte du jeton est supprimée à l’utilisation, au remplacement, ou dans la minute suivant l’expiration
• Photo de repas temporaire partagée via la PWA : moins de 10 minutes ou jusqu’à sa récupération unique, selon ce qui survient en premier
• Requêtes IA Anthropic : 30 jours sur les serveurs d’Anthropic, puis suppression automatique (selon l’accord de sous-traitance Anthropic)
• Localisation (recherche facultative de restaurants) : non conservée — utilisée uniquement pendant la recherche ; la liste des restaurants par carré de carte d’environ 1 km est conservée jusqu’à 14 jours et ne contient aucune donnée utilisateur (voir section 2g)

Sécurité

TempoLife applique des mesures techniques et organisationnelles pour protéger vos données (RGPD art. 32) :

• Tout le trafic en HTTPS/TLS 1.2+
• Mots de passe stockés sous forme d’empreintes bcrypt — jamais en clair
• Protection par jeton CSRF sur toutes les requêtes de modification
• Content Security Policy (CSP), HSTS, X-Frame-Options : DENY
• Android : uniquement la version officielle du Play Store, signée par keystore SHA-256
• Base de données (PostgreSQL) hébergée dans l’UE (Estonie) ; sauvegardes chiffrées
• Sauvegarde cloud de l’appareil Android DÉSACTIVÉE (android:allowBackup="false")

Vos droits

En vertu du RGPD, vous disposez des droits suivants, que vous pouvez exercer directement depuis l’application (Profil → Confidentialité) ou en écrivant à info@tempolife.app :

• Droit d’accès (art. 15) — vous pouvez consulter toutes vos données dans l’application
• Droit de rectification (art. 16) — modifiez les champs du profil à tout moment
• Droit à l’effacement (art. 17) — écrivez à info@tempolife.app
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité des données (art. 20) — le bouton « Télécharger mes données » renvoie une archive ZIP contenant des exports JSON
• Droit d’opposition (art. 21)
• Droit de retirer votre consentement (art. 7) — désactivez une intégration ou un paramètre agrégé, ou retirez une carte publique ou une paire de comparaison ; la suppression du compte n’est pas nécessaire
• Droit d’introduire une réclamation — Inspection estonienne de la protection des données : www.aki.ee

Comment supprimer votre compte

TempoLife respecte l’article 17 du RGPD (droit à l’effacement). Pour supprimer votre compte, écrivez à info@tempolife.app depuis l’adresse associée à votre compte. Nous supprimerons le compte sous 30 jours.

Ce qu’il advient de vos données

• Une fois la demande traitée : votre e-mail, votre nom, votre photo de profil et tous les marqueurs identifiants sont anonymisés dans la base de données (par ex. deleted_12345_1714@deleted.tempolife). Votre session est clôturée. Vous ne pouvez plus vous connecter.
• Sous 30 jours : toutes vos données de santé personnelles (pas, sommeil, humeur, séances de jeûne, journaux alimentaires, etc.), ainsi que tout enregistrement hérité de fonctionnalités retirées, sont définitivement supprimés.
• Après 30 jours : il ne subsiste rien d’identifiable vous concernant, hormis des statistiques agrégées anonymisées et les journaux d’audit légalement requis (IP et e-mail supprimés après 30 jours).

Cookies et stockage local

Par défaut, TempoLife n’utilise que le stockage nécessaire au fonctionnement du service. La mesure publicitaire et analytique couvre Google Analytics 4 (pages vues anonymes et événements de tunnel produit), les identifiants de clic et de campagne Google Ads conservés jusqu’à 90 jours, et une ouverture d’application avant inscription mesurée au moyen d’un identifiant pseudonyme aléatoire. Elle est activée par défaut sur la base de notre intérêt légitime à mesurer quelles campagnes mènent à des inscriptions, et vous pouvez la désactiver à tout moment dans les préférences de mesure ; les identifiants ci-dessus sont alors supprimés. L’enregistrement d’ouverture (plateforme, agent utilisateur limité, première et dernière ouverture, nombre) est supprimé au plus tard 90 jours après la dernière ouverture. La personnalisation publicitaire reste toujours désactivée. Vous pouvez modifier ce choix à tout moment dans les préférences de mesure.

• PHPSESSID — identifiant de session (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — votre choix de mesure et son rattachement au compte, empêchant qu’un choix ne soit transféré à un autre compte sur un appareil partagé
• Identifiants de clic, UTM et de mesure Google Ads (_gcl_* / _ga*) — uniquement lorsque la mesure est activée, jusqu’à 90 jours ; servent à attribuer une inscription et sont supprimés lorsque vous désactivez la mesure
• tl_device (jusqu’à 365 jours) et tl_dseen (30 minutes) — uniquement lorsque la mesure est activée, pour la mesure pseudonyme des ouvertures avant inscription ; supprimés après rattachement à un compte ou lorsque vous désactivez la mesure
• Google Analytics 4 — pages vues anonymes et événements de tunnel produit, activé par défaut (personnalisation publicitaire désactivée)
• Pages vues Restohind — comptage sans cookie des pages ouvertes sur restohind.tempolife.app, mesuré avec Umami auto-hébergé (adresse de la page, référent, navigateur, pays). Pas de cookie ni d’identifiant publicitaire.
• Télémétrie d’usage des comptes connectés — durée de session et écrans consultés pour les comptes connectés (hors invités), afin d’exploiter et d’améliorer le produit ; données propriétaires, 90 jours, jamais transmises à Google Analytics
• localStorage — thème, langue, indicateurs de consentement
• Service Worker — prise en charge hors ligne et cache

Confidentialité des enfants

TempoLife s’adresse aux utilisateurs âgés de 16 ans et plus. Les personnes de moins de 16 ans ne peuvent pas créer de compte sans le consentement d’un parent ou tuteur. Si nous apprenons avoir collecté des données d’une personne de moins de 16 ans sans consentement valable, nous les supprimons immédiatement.

Modifications de cette politique

En cas de modification substantielle de la politique de confidentialité, nous vous en informerons dans l’application (bannière ou e-mail) au moins 14 jours avant son entrée en vigueur. La poursuite de l’utilisation après la modification vaut acceptation.

Les versions antérieures sont archivées sur GitHub.

Contact

• E-mail : info@tempolife.app
• Site web : tempolife.app

Autorité de contrôle : Inspection estonienne de la protection des données — www.aki.ee