Politique de confidentialité

1. Le principe

L'éditeur de Mydiata ne collecte aucune de vos données. Il n'existe ni compte, ni serveur d'application, ni base de données distante. Vos données ne sont ni consultées, ni transmises, ni revendues, ni utilisées pour entraîner quoi que ce soit.

L'application ne contient aucun traceur, aucun outil de mesure d'audience, aucune publicité, et n'envoie aucun rapport de plantage. Deux précisions, pour être exact : le lecteur de codes-barres qu'elle embarque (ML Kit, une brique de Google) remonte à Google des statistiques techniques d'utilisation quand vous scannez (article 5) ; et Google Play peut, de son propre fait et selon vos réglages Android, recueillir des rapports de plantage sur les applications qu'il installe — l'éditeur n'y ajoute rien et n'y lit rien de vos données.

2. Responsable de traitement

meon, éditeur de l'application. Contact : mm3dcreation@gmail.com.

En pratique, les traitements décrits ci-dessous s'exécutent sur votre appareil et sous votre contrôle exclusif.

3. Données enregistrées sur l'appareil

Données de santé : glycémies et poses de capteur, repas et glucides, doses d'insuline et périodes de basale, état de la pompe, séances d'activité physique — celles que vous saisissez comme celles importées de Santé Connect (article 10), avec leurs mesures et vos pas —, ainsi que les réglages qui servent à l'aide au calcul (ratio glucides, facteur de sensibilité, glycémie ciblée, seuils de zones).

Votre cuisine : les plats que vous composez et leur recette, vos aliments maison, l'historique de ce que vous avez consommé ou scanné, et les photos que vous choisissez d'associer à un plat — prises sur le moment ou choisies dans votre photothèque, une à la fois, sans accès au reste de vos photos. Une photo de repas en dit autant qu'un code-barres : elle est traitée comme une donnée de santé.

Données de profil : le prénom ou surnom que vous choisissez, le sexe et la date de naissance, si vous les renseignez. Ces trois champs sont facultatifs et effaçables.

Identifiants de services tiers : l'adresse électronique et le mot de passe des comptes LibreLinkUp et EasyFollow que vous connectez, conservés chiffrés — et non hachés, parce que se reconnecter exige le mot de passe lui-même — ainsi que le jeton de session en cours.

L'éditeur ne vous identifie par rien : aucun identifiant publicitaire, aucun numéro d'appareil, aucune adresse électronique ne lui parvient. L'adresse d'un compte tiers que vous connectez ne sert qu'à vous connecter à ce compte, et ne quitte l'appareil que pour lui.

4. Base légale

Le traitement de données de santé repose sur votre consentement explicite, au sens de l'article 9.2.a du RGPD : c'est l'objet de la case que vous cochez au premier lancement, qui nomme ce traitement.

Ce consentement est retirable à tout moment. Le retirer, dans une application sans serveur, consiste à effacer vos données depuis « Sécurité et sauvegarde » — « Gestion des données » y mène — et à désinstaller l'application. Il n'y a rien à révoquer ailleurs, puisque rien n'est parti ailleurs.

5. Ce qui sort de l'appareil

Quatre choses seulement sortent d'ici. Les services tiers que vous avez vous-même connectés, LibreLinkUp et EasyFollow. La base d'aliments, téléchargée par Google Play le jour où vous la demandez. Les photos des produits du catalogue, chargées depuis Open Food Facts au moment où elles s'affichent — la base ne contient que leurs adresses, pas les images. Et des statistiques techniques d'utilisation que le lecteur de codes-barres embarqué (ML Kit, une brique de Google) remonte à Google quand vous scannez un produit — jamais l'image, jamais le code lu.

Les deux premiers sont déclenchés par vous : connecter un compte tiers, demander le téléchargement de la base d'aliments. Le troisième l'est par ce que vous regardez — la photo d'un produit se charge quand elle s'affiche. Le quatrième, par un scan : le lecteur de codes-barres est une brique de Google qui décode sur l'appareil mais remonte à Google des statistiques techniques (appareil, application, performance) que l'éditeur ne peut ni lire ni désactiver. Selon la déclaration de Google, ni l'image ni le code lu n'en font partie.

Se connecter à un compte tiers, c'est lui envoyer votre identifiant et votre mot de passe : ces requêtes-là transmettent bien quelque chose à Abbott ou à Medtrum — vos identifiants, et rien d'autre. Tout le reste ne fait que lire. Aucune donnée de votre journal n'est envoyée à ces services, ni à personne.

Toute requête révèle à son destinataire votre adresse IP et, pour une photo, le produit consulté. Les vignettes déjà affichées sont gardées dans le cache de l'application, sur cet appareil et en clair, comme les images de n'importe quelle application : Android peut le vider, la désinstallation l'efface. Un bouton « Voir le détail sur Open Food Facts » ouvre la fiche du produit dans votre navigateur : ce geste est le vôtre, et ce qui suit relève de votre navigateur.

Ces échanges sont soumis aux politiques de confidentialité d'Abbott, de Medtrum, de Google et d'Open Food Facts, sur lesquelles l'éditeur n'a aucune prise.

6. Sécurité

La base de données est chiffrée, et la clé qui l'ouvre est scellée par votre mot de passe : sans lui, son contenu est illisible, y compris pour qui obtiendrait le fichier. Le court délai à l'ouverture vient de ce déverrouillage, et il est volontaire. Les identifiants de vos comptes tiers sont dans cette même base : un mot de passe de compte de santé mérite la même protection que les mesures qu'il rapporte. Le profil est dans un fichier chiffré par une clé du magasin sécurisé d'Android.

Pour que la synchronisation continue quand l'application est verrouillée, deux choses vivent hors de la base. Le jeton de session du compte tiers, dans un fichier chiffré par le magasin sécurisé d'Android — protégé par le verrou de votre téléphone, pas par votre mot de passe. Et les mesures relevées entre-temps, déposées chiffrées avec une clé que seul votre déverrouillage déballe : elles rejoignent la base à l'ouverture suivante, et le dépôt est vidé.

Le déverrouillage par empreinte, si vous l'activez, ne stocke jamais votre empreinte : elle débloque une clé matérielle qui déballe la même clé de données.

L'application ne journalise jamais une donnée de santé, un identifiant de compte tiers, un jeton, un code-barres ni une photo.

7. Durée de conservation

Vos données restent sur l'appareil aussi longtemps que vous les y laissez. L'application ne supprime jamais d'elle-même une donnée de santé : il n'y a ni purge par ancienneté, ni nettoyage automatique.

Vous seul décidez de leur suppression, entrée par entrée, par catégorie (« Sécurité et sauvegarde »), ou en désinstallant l'application. Un fichier d'export que vous avez enregistré ailleurs vous appartient : il n'est effacé que par vous.

8. Destinataires

Aucun du fait de l'éditeur : il n'y a ni sous-traitant, ni hébergeur, ni base distante, parce que rien n'est hébergé. Les seuls destinataires sont techniques, ceux des requêtes de l'article 5 — Abbott, Medtrum, Google et Open Food Facts — et chacun ne reçoit que ce que sa requête porte, jamais votre journal.

Les services tiers que vous connectez ne sont pas des destinataires de vos données de santé : ce sont des sources dont vous êtes déjà l'utilisateur, et Mydiata s'y connecte avec vos propres identifiants.

L'application ne transfère rien hors de l'Union européenne de son propre fait. Un compte LibreLinkUp ou EasyFollow est joint là où son éditeur l'héberge, dans la région que vous avez choisie en le créant : si ce compte est hébergé hors de l'Union, la connexion l'est aussi.

9. Vos droits, et comment les exercer sans nous écrire

Accès et portabilité : « Sécurité et sauvegarde » produit un export chiffré de votre journal, de vos mesures, de votre cuisine et de vos réglages — sans les identifiants de comptes tiers ni la trace de votre consentement —, dont vous choisissez la phrase de passe.

Rectification : toute entrée du journal se modifie ou se supprime depuis son détail, et tous les réglages depuis les écrans qui les portent.

Effacement : l'effacement sélectif permet de supprimer une catégorie de données ; la désinstallation supprime le reste. Ces suppressions sont définitives et sans corbeille. Une exception, pour que les séries restent continues et qu'un import ne fasse pas revenir ce que vous avez écarté : une période d'insuline basale ou une séance d'activité supprimée une par une reste marquée « supprimée » dans la base, invisible partout, jusqu'à l'effacement de sa catégorie ou la désinstallation.

Limitation et opposition : sans serveur, limiter un traitement consiste à ne pas saisir, à ne pas connecter un compte, ou à retirer une autorisation dans Santé Connect. L'application ne fait rien de ce que vous ne lui donnez pas.

Aucune décision automatisée : l'application n'envoie aucune dose, ne pilote aucun appareil et ne décide de rien à votre place. Ce qu'elle calcule s'affiche ; vous décidez.

Ces droits s'exercent directement dans l'application, sans demande à personne : l'éditeur ne détient aucune copie et ne pourrait ni vous communiquer ni effacer quoi que ce soit à votre place.

10. Santé Connect

Santé Connect est le magasin de données de santé d'Android, alimenté par vos autres applications — montre, balance, application de sport. Mydiata y lit vos séances d'activité, et rien d'autre.

Ce qui est lu, précisément : le début, la fin et le nom de chaque séance, la distance parcourue, les calories dépensées pendant l'effort, les pas, la vitesse et la fréquence cardiaque. Ces deux dernières ne sont lues que pendant les séances elles-mêmes : votre fréquence cardiaque au repos n'est jamais consultée. Aucune glycémie n'est lue dans Santé Connect.

La lecture est faite en lecture seule : Mydiata n'écrit jamais dans Santé Connect, et ne demande aucune autorisation d'écriture. Elle n'a lieu qu'après l'autorisation qu'Android vous demande, famille par famille, et vous pouvez la retirer à tout moment depuis Santé Connect. Refuser n'empêche rien : une activité se saisit aussi à la main.

Les mesures reçues sont enregistrées dans la même base chiffrée que le reste, sur cet appareil, et n'en sortent pas. Aucune requête réseau n'est faite pour les obtenir : Santé Connect est un magasin local. Vous pouvez les effacer à tout moment depuis « Sécurité et sauvegarde », séance par séance ou en bloc.

11. Mineurs

L'application peut être utilisée pour le suivi d'un enfant, sous la responsabilité de son représentant légal, qui donne alors le consentement et tient le carnet.

12. Modifications et réclamation

Toute évolution de fond de cette politique donne lieu à une nouvelle demande d'acceptation au lancement de l'application ; la version acceptée et sa date se relisent dans « Gestion des données ».

Vous pouvez adresser une réclamation à l'autorité de contrôle de votre pays de résidence — en France, la Commission nationale de l'informatique et des libertés (CNIL), qui reçoit les plaintes en ligne sur cnil.fr.