Politique de confidentialité

1. Le principe

L'éditeur de Mydiata ne collecte aucune de vos données. Il n'existe ni compte Mydiata, ni serveur d'application, ni base de données distante. L'éditeur ne consulte pas vos données, ne les reçoit pas, ne les revend pas et ne s'en sert pour entraîner aucun modèle.

L'application ne contient ni traceur, ni outil de mesure d'audience, ni publicité, et n'envoie elle-même aucun rapport de plantage. Deux transmissions techniques vers Google existent toutefois. Le lecteur de codes-barres intégré (ML Kit, de Google) transmet à Google des statistiques techniques sur son utilisation (article 5). Google Play peut aussi, de son propre fait et selon vos réglages Android, recueillir des rapports de plantage et de blocage des applications qu'il a installées. L'éditeur y voit notamment, dans sa console Google Play, le modèle de l'appareil, les versions d'Android et de l'application, et la trace technique de l'erreur, qui indique l'endroit du code où elle s'est produite. Il n'y ajoute rien, et l'application ne place aucune donnée de santé dans les erreurs susceptibles d'y figurer.

2. Responsable de traitement

Mikael Méon, éditeur de l'application. Contact : mm3dcreation@gmail.com.

En pratique, les traitements décrits ci-dessous s'exécutent sur votre appareil, sous votre contrôle.

3. Données enregistrées sur l'appareil

Données de santé : glycémies et poses de capteur, cétonémies que vous saisissez, repas et glucides, doses d'insuline et périodes de basale, état de la pompe et historique de ce qu'elle a délivré, séances d'activité physique saisies par vous ou importées de Santé Connect avec leurs mesures, vos pas (article 10), les notes que vous ajoutez à vos entrées, les réglages qui servent à l'aide au calcul (ratio glucides, facteur de sensibilité, glycémie ciblée) avec leur historique, et les seuils de zones de glycémie.

Préférences : vos préférences d'affichage, dont celles de la carte d'avertissement d'hypoglycémie du journal, de l'indicateur de vérification des cétones et de leurs deux notifications. Lorsqu'une de ces notifications est active, l'application retient le dernier niveau qu'elle vous a signalé et le moment de ce signalement, pour ne pas vous le répéter toutes les quinze minutes. Ces valeurs sont chiffrées et ne servent à rien d'autre.

Votre cuisine : les plats que vous composez et leur recette, vos aliments maison, l'historique récent de ce que vous avez consommé ou scanné, et les photos que vous choisissez d'associer à un plat ou à un aliment maison. Ces photos sont prises sur le moment ou choisies une à une dans votre photothèque, sans accès au reste de vos photos. Comme un code-barres scanné, une photo de repas renseigne sur votre alimentation : elle est traitée comme une donnée de santé.

Profil : le prénom ou surnom que vous choisissez, votre sexe et votre date de naissance. Ces trois champs sont facultatifs et effaçables.

Comptes tiers : l'identifiant et le mot de passe des comptes LibreLinkUp et EasyFollow que vous connectez, la session en cours, et les informations de compte que ces services renvoient, comme les identifiants de compte et de patient ou le nom du patient suivi. Le mot de passe est conservé chiffré mais pas haché, car se reconnecter exige de le fournir tel quel.

Aucun identifiant ne parvient à l'éditeur : ni identifiant publicitaire, ni numéro d'appareil, ni adresse électronique. Les identifiants d'un compte tiers ne servent qu'à vous connecter à ce compte et ne sont envoyés qu'à lui.

4. Base légale

Le traitement de vos données de santé repose sur votre consentement explicite, au sens de l'article 9.2.a du RGPD, recueilli au premier lancement par une case qui nomme ce traitement.

Vous pouvez retirer ce consentement à tout moment. Faute de serveur, le retirer consiste à effacer vos données depuis « Sécurité et sauvegarde », accessible aussi depuis « Gestion des données », puis à désinstaller l'application. Il n'y a rien à révoquer auprès de l'éditeur, qui ne détient aucune de vos données.

Les échanges de l'article 5 qui ne portent pas sur votre santé reposent sur l'intérêt légitime, au sens de l'article 6.1.f du RGPD : faire fonctionner le téléchargement, le scan et l'affichage que vous demandez. Il s'agit du téléchargement de la base d'aliments par Google Play, des statistiques techniques que le lecteur de codes-barres transmet à Google, et de votre adresse IP et du produit consulté, que révèle le chargement d'une photo depuis Open Food Facts.

Vous pouvez vous opposer au téléchargement en ne le demandant pas, et au scan en ne l'utilisant pas : un produit se retrouve aussi en le cherchant par son nom. Aucun réglage ne désactive les photos, qui ne se chargent qu'avec une connexion : pour les éviter, il faut consulter les produits hors connexion, où seules les photos déjà affichées restent visibles.

5. Ce qui sort de l'appareil

L'application ne communique avec l'extérieur que dans quatre cas. Avec LibreLinkUp et EasyFollow, les services que vous avez vous-même connectés. Avec Google Play, qui télécharge la base d'aliments le jour où vous la demandez. Avec Open Food Facts, qui fournit la photo d'un produit du catalogue au moment où elle s'affiche : la base ne contient que l'adresse des images. Et avec Google, à qui le lecteur de codes-barres intégré (ML Kit) transmet des statistiques techniques sur son utilisation, jamais l'image ni le code lu.

Chacun de ces échanges découle d'un choix de votre part : connecter un compte, demander la base d'aliments, afficher un produit du catalogue, utiliser le lecteur de codes-barres. Le code-barres est décodé sur l'appareil. D'après la liste publiée par Google, les statistiques du lecteur portent sur l'appareil, l'application et ses performances, avec des identifiants techniques propres à l'installation, mais ni sur l'image ni sur le code lu. L'éditeur ne peut ni les consulter ni les désactiver.

Se connecter à LibreLinkUp ou à EasyFollow, c'est envoyer à Abbott ou à Medtrum votre identifiant et votre mot de passe. Les requêtes suivantes ne font que lire vos données, avec la session que ce service vous a remise et les identifiants de compte qu'il connaît déjà. Toutes les requêtes adressées à Medtrum, connexion comprise, indiquent aussi des informations techniques sur votre téléphone (modèle, version d'Android, pays réglé). Aucune donnée de votre journal n'est envoyée à ces services, ni à personne d'autre.

Toute requête révèle votre adresse IP à son destinataire et, pour une photo, le produit consulté. Les photos déjà affichées sont conservées en clair dans le cache de l'application, sur cet appareil, comme dans n'importe quelle application : Android peut vider ce cache, et la désinstallation l'efface. Les liens vers une page web, comme la fiche Open Food Facts d'un produit ou le site de Mydiata, s'ouvrent dans votre navigateur : ce geste est le vôtre, et la suite relève du navigateur.

Ces échanges sont soumis aux politiques de confidentialité d'Abbott, de Medtrum, de Google et d'Open Food Facts, sur lesquelles l'éditeur n'a aucune prise.

6. Sécurité

La base de données est chiffrée. La clé qui l'ouvre est elle-même chiffrée à partir de votre mot de passe et, séparément, de votre code de récupération : copié hors de votre téléphone, le fichier de la base est illisible sans l'un d'eux. Vos identifiants de comptes tiers et vos photos sont dans cette même base.

Par défaut, l'application ne vous redemande pas votre mot de passe à chaque ouverture : elle garde une copie de cette clé, protégée par le magasin de clés d'Android et utilisable seulement lorsque votre téléphone est déverrouillé, jusqu'à son redémarrage. Activez « Demander le mot de passe au lancement » pour qu'il soit demandé à chaque ouverture.

Si vous activez le déverrouillage biométrique, l'application n'enregistre jamais vos données biométriques : Android les vérifie, puis débloque une clé matérielle qui donne accès à la même clé.

D'autres éléments sont conservés hors de la base, dans des fichiers chiffrés par une clé du magasin de clés d'Android, liée à ce téléphone et non à votre mot de passe : votre profil et une partie de vos réglages, l'état des notifications, et ce qui permet à la synchronisation de continuer pendant que l'application est verrouillée, comme la session de vos comptes tiers et le capteur en cours. Les mesures relevées pendant ce temps sont déposées chiffrées, avec une clé que seul votre déverrouillage rend utilisable ; elles rejoignent la base à l'ouverture suivante, puis ce dépôt est vidé.

Les seuils des zones de glycémie et la trace de votre consentement sont conservés sans chiffrement, dans l'espace réservé à l'application.

L'application n'inscrit jamais dans ses journaux techniques de donnée de santé, d'identifiant de compte tiers, de jeton, de code-barres ni de photo.

7. Durée de conservation

Vos données restent sur l'appareil tant que vous les y laissez. L'application ne supprime rien d'elle-même, à une exception près : l'historique de votre cuisine ne garde que les produits les plus récents, sans toucher aux repas de votre journal. Il n'y a ni purge de vos données par ancienneté, ni nettoyage automatique.

Vous seul décidez de leur suppression : entrée par entrée, par catégorie depuis « Sécurité et sauvegarde », ou en désinstallant l'application (article 9). Un fichier d'export que vous avez enregistré ailleurs vous appartient : il n'est effacé que si vous le supprimez.

8. Destinataires

L'éditeur ne transmet vos données à personne : il n'a ni sous-traitant, ni hébergeur, ni base distante, puisque rien n'est hébergé. Les seuls destinataires sont ceux des requêtes techniques de l'article 5 (Abbott, Medtrum, Google et Open Food Facts), et chacun ne reçoit que ce que sa requête contient, jamais votre journal.

Les services tiers que vous connectez ne reçoivent pas vos données de santé : ce sont des sources, dont vous êtes déjà utilisateur, et Mydiata s'y connecte avec vos propres identifiants.

L'éditeur n'organise aucun transfert hors de l'Union européenne : il n'a ni serveur ni sous-traitant à qui transférer quoi que ce soit. Certains échanges peuvent néanmoins sortir de l'Union, notamment les suivants. Un compte LibreLinkUp ou EasyFollow est joint là où son éditeur l'héberge, selon la région que vous avez choisie en le créant : si cette région est hors de l'Union, la connexion en sort aussi. Google peut traiter hors de l'Union, avec les garanties prévues par ses propres conditions, ce qu'il reçoit : les statistiques du lecteur de codes-barres, le téléchargement de la base d'aliments et, le cas échéant, les rapports de plantage mentionnés à l'article 1. Le lieu où Open Food Facts traite les demandes de photos relève de ses conditions.

9. Vos droits et leur exercice

Accès et portabilité : « Sécurité et sauvegarde » produit un export chiffré de votre journal, de vos mesures, de votre cuisine et de vos réglages, protégé par une phrase de passe que vous choisissez. Les identifiants de vos comptes tiers et la trace de votre consentement n'y figurent pas.

Rectification : ce que vous saisissez se modifie ou se supprime depuis l'application, et vos réglages depuis les écrans qui les portent. Ce que relaient vos appareils ou Santé Connect ne se modifie pas : cela s'efface par catégorie, et une séance importée peut aussi être retirée depuis son détail.

Effacement : l'effacement sélectif de « Sécurité et sauvegarde » supprime une catégorie de données, et la désinstallation supprime tout. Ces suppressions sont définitives, sans corbeille. L'insuline basale (périodes et prises) et l'historique de la sensibilité n'ont pas de catégorie : ils ne s'effacent entièrement qu'en désinstallant l'application. Une période ou une prise de basale, ou une séance d'activité, supprimée individuellement reste enregistrée, marquée comme supprimée : invisible dans l'application, elle figure encore dans vos exports, jusqu'à l'effacement de sa catégorie ou la désinstallation. Ce marquage garde les séries continues et empêche un import de faire revenir ce que vous avez écarté.

Limitation et opposition : faute de serveur, limiter un traitement consiste à ne pas saisir une donnée, à ne pas connecter de compte, à ne pas demander la base d'aliments, à ne pas utiliser le scan de codes-barres (article 4) ou à retirer une autorisation dans Santé Connect.

Aucune décision automatisée : l'application n'envoie aucune dose, ne pilote aucun appareil et ne décide de rien à votre place. Ce qu'elle calcule s'affiche ; vous décidez.

La carte d'avertissement d'hypoglycémie du journal affiche une estimation, calculée sur votre appareil à partir des seules mesures relevées par votre capteur pendant les trois dernières heures, ou le constat d'une hypoglycémie si la dernière de ces mesures est déjà sous 70 mg/dL ; elle n'agit sur rien et se désactive dans les réglages. Une notification, active par défaut, vous prévient lorsque le niveau estimé atteint celui que vous avez choisi : modéré, élevé ou très élevé, « modéré » par défaut le jour. Elle se règle ou se désactive dans les réglages, et s'arrête aussi quand la carte est désactivée. Calculée sur votre appareil au moment où il récupère vos mesures, elle peut arriver avec un quart d'heure de retard. La nuit, de 22 h à 7 h par défaut, un réglage distinct s'applique : « très élevé » par défaut, et aucune notification pendant cette plage si vous le désactivez. Quand la dernière mesure de votre capteur est déjà sous 70 mg/dL, une nouvelle notification indique « Hypoglycémie détectée » : ce constat suit le même réglage de nuit. Mais une notification de niveau « très élevé » ou « Hypoglycémie détectée » n'est suivie d'aucune autre pendant une heure environ, même d'un nouveau constat et même si vous l'avez déjà ouverte ou écartée, sauf si le niveau est entre-temps redescendu sous celui qui déclenche la notification à ce moment-là, de jour ou de nuit. Cette notification n'est pas une alarme et ne remplace pas les alertes de votre capteur ou de votre pompe.

L'indicateur de vérification des cétones suit les mêmes principes. Il repère, d'après vos mesures, vos bolus (saisis ou délivrés par votre pompe), les suspensions relevées par votre pompe et vos cétonémies saisies, les situations où il est conseillé de mesurer ses cétones. Il ne mesure rien, ne décide de rien et se désactive dans les réglages. Sa notification, active par défaut, ne s'appuie que sur votre courbe de glycémie, n'a pas de réglage de nuit et s'arrête aussi quand l'indicateur est désactivé.

Ces droits s'exercent directement dans l'application, sans rien demander à personne : l'éditeur ne détient aucune copie de vos données et ne pourrait ni vous les communiquer, ni les effacer à votre place.

10. Santé Connect

Santé Connect est l'espace de stockage des données de santé d'Android, alimenté par vos autres applications : montre, balance, application de sport. Mydiata y lit vos séances d'activité et vos pas, et rien d'autre.

Pour chaque séance, Mydiata lit son début, sa fin, son nom et son type, l'application qui l'a enregistrée, la distance parcourue, les calories dépensées pendant l'effort, les pas, la vitesse et la fréquence cardiaque. La vitesse et la fréquence cardiaque ne sont lues que pendant les séances : votre fréquence cardiaque au repos n'est jamais consultée. En dehors des séances, seul le nombre de pas est lu, heure par heure. Aucune glycémie n'est lue dans Santé Connect.

Mydiata n'écrit jamais dans Santé Connect et ne demande aucune autorisation d'écriture. La lecture n'a lieu qu'avec votre accord, qu'Android vous demande pour chaque type de données, et vous pouvez le retirer à tout moment depuis Santé Connect. Refuser ne bloque rien : une activité peut aussi se saisir à la main.

Les données reçues sont enregistrées dans la même base chiffrée que le reste, sur cet appareil, et ne sont transmises à personne. Leur lecture ne passe pas par le réseau : Santé Connect fonctionne localement. Vous pouvez les effacer en bloc depuis « Sécurité et sauvegarde ». Une séance peut aussi être retirée depuis son détail : elle reste alors marquée comme supprimée, pour ne pas être importée à nouveau (article 9).

11. Mineurs

L'application peut servir au suivi d'un enfant. Le carnet est alors tenu sous la responsabilité de son représentant légal, qui donne le consentement.

Un mineur qui tient lui-même son carnet peut consentir seul à partir de 15 ans. En dessous de cet âge, conformément à l'article 45 de la loi Informatique et libertés, le consentement est donné conjointement par le mineur et par le ou les titulaires de l'autorité parentale, qui cochent ensemble la case du premier lancement.

12. Modifications et réclamation

Toute modification de fond de cette politique vous est présentée au lancement de l'application, pour une nouvelle acceptation. La version que vous avez acceptée et la date de votre acceptation se consultent dans « Gestion des données ».

Vous pouvez adresser une réclamation à une autorité de contrôle, notamment celle de votre pays de résidence. En France, il s'agit de la Commission nationale de l'informatique et des libertés (CNIL), qui reçoit les plaintes en ligne sur cnil.fr.