Politique de confidentialité.

1 Responsable du traitement

BSNS GmbH est le responsable du traitement décrit dans cette politique. Elle couvre les sites web yourkata.com et docs.yourkata.com, l’app web Kata sur app.yourkata.com ainsi que les apps mobiles Kata pour iOS et Android, y compris l’app Apple Watch et les widgets fournis avec l’app iOS.

BSNS GmbH n’a pas désigné de délégué à la protection des données et n’est pas tenue de le faire. Pour toute question relative à la protection des données, contact@yourkata.com est la ligne directe vers les personnes responsables.

2 La version courte

Vos données de santé vous appartiennent. Tous les journaux, conversations, photos et la mémoire de Kata sont écrits sur votre appareil, pas dans une base de contenus qui serait la nôtre : dans le navigateur comme dans les apps mobiles. Nous ne vous ciblons jamais par la publicité, ne vendons jamais de données et ne profilons jamais vos données de santé. La seule mesure que nous opérons est une analyse d’audience de base et agrégée sur ce site marketing (Google Analytics), que vous pouvez refuser dans la bannière et qui ne touche jamais vos données de santé ni de compte (section 4). Au-delà de l’adresse email et de l’identifiant de compte qui vous connectent, et des registres opérationnels décrits aux sections 9 à 11 et 16, deux choses quittent votre appareil : votre message à Kata, envoyé à notre fournisseur d’IA pour générer votre réponse, qui ne l’utilise pas pour l’entraînement et l’efface dans un délai de 30 jours, tandis que nous n’en gardons aucune copie ; et, dans l’app web et l’app Android, un instantané de restauration de votre compte, chiffré sur votre appareil avant d’être envoyé, sous une clé que nous ne recevons jamais. Cet instantané, nous le détenons sous forme chiffrée, nous n’avons aucun moyen technique de l’ouvrir, et vos photos ne s’y trouvent jamais (section 7). Deux fonctions que vous activez vous-même s’ajoutent, délibérément : Kata Duo partage une valeur oui ou non par jour avec les personnes que vous invitez, et rien de ce que vous avez fait (section 14), et un partage sécurisé vous permet d’envoyer un résumé que vous composez à une personne que vous désignez : il est scellé sur votre appareil et son lien part de votre appareil, il reste donc illisible pour nous aussi (section 15).

3 Cadre juridique

Nous traitons les données personnelles conformément à la loi fédérale suisse sur la protection des données (LPD, version révisée en vigueur depuis le 1er septembre 2023) et, lorsqu’il s’applique aux utilisateurs de l’Espace économique européen, au règlement général de l’UE sur la protection des données (RGPD). Lorsque cette politique cite une base légale, elle se réfère à l’art. 6, par. 1 RGPD ; au titre de la LPD, les traitements décrits ici relèvent des principes de l’art. 6 LPD et ne reposent pas sur le consentement, sauf mention contraire.

4 Visites du site web

• Analyse d’audience : ce site web utilise Google Analytics (fourni par Google Ireland Limited) pour mesurer les visites et le trafic de façon agrégée : pages vues, région approximative à partir d’une adresse IP tronquée, type d’appareil et de navigateur, et comment vous êtes arrivé. Il dépose ses propres cookies. Ce sont des données d’usage anonymes et agrégées portant uniquement sur le site ; elles ne sont jamais liées à votre compte Kata et n’incluent jamais de données de santé ni de compte personnel. Cela ne se charge que si vous l’acceptez dans la bannière de consentement, et vous pouvez refuser. Base légale : votre consentement (art. 6 (1) (a) RGPD ; LPD suisse).
• Bannière de consentement : l’analyse ne se charge qu’après votre acceptation. Votre choix, accepté ou refusé, est mémorisé sous forme d’un unique indicateur dans le localStorage de votre navigateur, et tant que vous n’avez pas accepté, aucun cookie d’analyse n’est déposé et aucune donnée d’analyse n’est envoyée. Effacer ce stockage vous permet de choisir à nouveau.
• Hébergement : Vercel Inc., États-Unis, délivre le site web et traite des journaux serveur techniques (adresse IP, heure de la requête, user agent) pour exploiter et protéger le service (intérêt légitime). Le traitement peut avoir lieu dans l’UE et aux États-Unis ; les transferts sont couverts par les clauses contractuelles types de l’UE et les règles suisses sur les flux transfrontières de données.
• Les polices de caractères sont auto-hébergées et servies par le même hébergement que les pages. Aucun service de polices tiers n’est contacté, et aucune requête de votre part n’en atteint un.

5 Formulaires du site web (contact et partenariat)

Si vous utilisez le formulaire de contact ou de partenariat, nous traitons les informations que vous soumettez (nom, adresse email, sujet, entreprise le cas échéant, et votre message) pour répondre à votre demande (exécution d’un contrat ou mesures précontractuelles ; intérêt légitime pour les demandes générales). Les messages sont livrés dans nos boîtes mail par Resend, Inc., États-Unis, agissant comme notre sous-traitant, et sont conservés aussi longtemps que nécessaire pour traiter la conversation et son suivi. Les données de formulaire ne sont jamais utilisées à des fins publicitaires ni partagées au-delà de cette finalité.

6 App : données de compte

Pour créer et sécuriser votre compte, nous traitons votre adresse email, un identifiant utilisateur (votre identifiant de compte), votre méthode d’authentification et les horodatages d’authentification, sur chaque surface (app web et apps mobiles). L’authentification est fournie par Supabase, notre sous-traitant, avec un projet hébergé en Suisse (région de Zurich). Vous pouvez vous connecter par email et mot de passe, Google, Apple ou lien magique ; lorsque vous utilisez une connexion tierce, ce fournisseur nous confirme votre identité et nous ne stockons que votre adresse email et cet identifiant de compte. Si vous vous connectez avec Apple et choisissez « Masquer mon adresse e-mail », Apple nous fournit une adresse relais privée au lieu de votre vraie adresse ; nos emails transactionnels sont envoyés à ce relais et transférés par Apple jusqu’à vous. Supabase ne détient aucune donnée de santé lisible. Ce qui se trouve par ailleurs dans cette base est décrit aux sections 7 et 9 à 16 : l’instantané scellé de l’app web et de l’app Android, que nous ne pouvons pas ouvrir, les registres opérationnels qui y sont énumérés et, si vous utilisez Kata Duo ou Kata Groups, une valeur oui ou non par jour.

L’essai gratuit de Kata Plus et les récompenses d’Inviter un ami (section 13) sont accordés une seule fois par personne. Pour que cela reste vrai après la suppression d’un compte, nous conservons des empreintes à clé de l’adresse email du compte supprimé et des comptes de connexion Apple ou Google qui y étaient liés. Une empreinte à clé est un HMAC, un hachage à sens unique calculé avec une clé secrète qui nous appartient : elle ne peut pas être reconvertie en adresse ou en compte de connexion, et tout ce qu’elle peut montrer, c’est que la même valeur revient. Nous conservons ces empreintes pendant 24 mois après la suppression et ne les utilisons qu’à une seule fin : vérifier si un nouveau compte appartient à quelqu’un qui a déjà bénéficié de l’essai ou d’une récompense d’invitation, auquel cas le nouveau compte n’obtient ni l’un ni l’autre une seconde fois. Base légale : notre intérêt légitime à prévenir les abus de nos offres gratuites (art. 6, par. 1, let. f RGPD ; LPD suisse).

7 Vos données de santé et où elles vivent

Kata privilégie le stockage local sur votre appareil, sur chaque surface. Tous les journaux de santé (poids, repas, eau, entraînement, sommeil, compléments), votre historique de chat, la mémoire de Kata, vos photos et votre journal des décisions sont écrits sur votre appareil : dans le stockage du navigateur pour l’app web (localStorage pour les réglages et journaux structurés, IndexedDB pour les contenus plus lourds comme les photos) et dans le stockage local de l’app sur iOS et Android. C’est le seul endroit où tout cela existe en clair. Nous n’exploitons aucune base de contenus, et il n’y a de notre côté rien que nous puissions ouvrir, lire ou remettre. Si vous supprimez l’app ou effacez ses données de site, elles disparaissent ; l’export intégré existe pour que vous puissiez d’abord les sauvegarder.

Dans l’app web et l’app Android, une chose quitte bien votre appareil, et la voici exactement. Pour qu’un navigateur vidé, un nouvel ordinateur ou un nouveau téléphone ne signifie pas un historique perdu, ces deux apps conservent un unique instantané de restauration de votre compte, que nous stockons comme une ligne par compte, car ni un navigateur ni un téléphone Android n’offre à Kata un cloud privé par personne sur lequel s’appuyer. L’app iOS ne nous envoie aucun instantané de ce type : elle écrit un fichier de sauvegarde dans son propre dossier Documents sur votre iPhone (section 11). Avant que l’instantané ne quitte votre appareil, il y est chiffré en AES-256-GCM, sous une clé aléatoire de 256 bits générée sur votre appareil, conservée dans son stockage sécurisé et affichée une fois comme votre code de récupération. Cette clé ne nous est jamais transmise, sous aucune forme : ni dans la ligne, ni dans une colonne, ni dans un en-tête de requête, ni dans un journal technique.

Dans l’app Android, cette clé est conservée à deux endroits, dont aucun n’est chez nous : sur le téléphone, scellée sous une clé que détient l’Android Keystore, et dans Google Block Store, un espace pour petits secrets que les services Google Play tiennent avec votre compte Google, selon les conditions de Google. C’est cette seconde copie qui permet à un nouveau téléphone Android, configuré depuis votre compte Google, de récupérer la clé de lui-même et d’ouvrir votre instantané ; lorsque votre téléphone le permet, Google chiffre cette copie de bout en bout avec le verrouillage de votre écran. Supprimer votre compte dans l’app retire la clé des deux endroits. Là où Block Store n’est pas disponible, votre code de récupération permet d’ouvrir l’instantané sur un autre appareil.

La ligne contient l’enveloppe scellée et rien d’autre : un marqueur de format, un numéro de version, le nom de l’algorithme, le vecteur d’initialisation aléatoire, le texte chiffré, l’heure du scellement et la version de schéma des données à l’intérieur. Aucune clé, aucun identifiant de clé, aucun hachage de la clé, aucun sel et aucune valeur de contrôle n’est stocké à côté : il n’y a donc de notre côté rien contre quoi une hypothèse pourrait même être testée. Nous détenons du texte chiffré que nous n’avons aucun moyen technique de lire, et vous seul détenez ce qui l’ouvre. Vos photos ne font jamais partie de cet instantané, pas plus que les valeurs que vous importez depuis Apple HealthKit ou Google Health Connect. La sécurité au niveau des lignes est le second verrou : la ligne est liée à votre compte connecté et aucun autre compte ne peut l’atteindre. Elle est rafraîchie après un changement, au plus une fois par quart d’heure (toutes les deux minutes pendant la première heure d’un nouveau compte), et toutes les six heures quand rien n’a changé ; chaque rafraîchissement remplace le précédent, et elle est supprimée avec votre compte. Si votre appareil ne peut pas chiffrer, rien n’est envoyé du tout.

Les données de santé que vous importez depuis Apple HealthKit ou Google Health Connect sont traitées comme toute autre entrée de santé : elles vivent sur votre appareil et ne sont jamais stockées sur nos serveurs. Lorsque vous posez une question à Kata, les valeurs importées dont cette question a besoin sont envoyées avec elle à notre fournisseur d’IA pour y répondre (section 8). Nous ne les stockons jamais, ne les vendons jamais et ne les utilisons jamais à des fins publicitaires.

8 Coach IA

Lorsque vous parlez à Kata, votre message et le contexte minimal nécessaire pour y répondre, y compris les éventuelles valeurs d’Apple HealthKit, de Google Health Connect ou de WHOOP dont la question a besoin, sont transmis via une connexion chiffrée à notre fournisseur d’IA (actuellement Anthropic PBC, États-Unis) pour générer la réponse. Anthropic n’utilise pas ces requêtes pour entraîner ses modèles et les supprime dans un délai de 30 jours. Nous ne stockons pas le contenu de ces requêtes sur nos serveurs ; nous n’enregistrons que des comptages agrégés de jetons par compte pour la maîtrise des coûts. Les questions que vous posez sur l’Apple Watch sont traitées de la même façon. La saisie vocale est transformée en texte avant de nous parvenir : par la reconnaissance vocale d’Apple dans l’app iOS, par la reconnaissance vocale de votre téléphone dans l’app Android, qui sur la plupart des téléphones Android est fournie par Google et peut traiter l’audio sur les serveurs de Google, et par celle de votre navigateur dans l’app web, chacune selon les conditions propres de son fournisseur. Les photos sont analysées de la même façon que les messages, uniquement lorsque vous les envoyez.

9 Signaux produit abstraits

Pour améliorer Kata, comprendre notre audience et faire respecter l’usage équitable, nous stockons un petit ensemble de signaux abstraits par compte. Ils sont liés à votre identifiant de compte et constituent donc des données personnelles pseudonymisées, mais ne contiennent ni noms ni contenu : un battement quotidien indiquant la plateforme, la version de l’app et un code pays déterminé sur notre serveur ; le nombre d’ouvertures de l’app et les horodatages de dernière activité ; des chiffres agrégés d’usage de l’IA (comptages de jetons par compte, jamais le contenu des messages) ; un résumé de persona abstrait que l’app calcule sur votre appareil (un mot d’archétype plus des traits sommaires comme le niveau d’activité, les principaux types de sport, la régularité alimentaire, le rythme de sommeil, la phase actuelle, le genre auto-déclaré en option, le pays et le fuseau horaire) ; l’attribution des invitations et bons ; et votre formule d’abonnement.

Explicitement jamais détenus en clair sur nos serveurs : vos conversations et votre historique de chat, vos journaux de santé, la mémoire de Kata et votre journal des décisions. Vos photos ne sont jamais stockées sur nos serveurs. Le reste ne nous parvient qu’à l’intérieur de l’instantané de compte chiffré décrit à la section 7, sous forme de texte chiffré que nous ne pouvons pas ouvrir. Le résumé de persona est calculé sur votre appareil, et aucun des signaux énumérés ici ne permet de reconstituer quoi que ce soit de tout cela. Base légale : notre intérêt légitime à exploiter et améliorer le service (art. 6, par. 1, let. f RGPD ; LPD suisse).

Deux autres éléments sur nos serveurs découlent de la santé sans être des signaux produit, car ils n’existent qu’aussi longtemps que vous le demandez : la valeur quotidienne oui ou non de Kata Duo (section 14) et le résumé scellé d’un partage sécurisé (section 15). Ils sont nommés ici pour que cette section reste une image complète de ce que nous détenons, et chacun est décrit en entier dans sa propre section.

10 Registres de consentement

Lorsque vous acceptez les Conditions d’utilisation ou donnez un consentement dans l’app, nous enregistrons la trace de cette acceptation : la version du document, l’horodatage, la surface (web, iOS ou Android) et la langue dans laquelle vous avez accepté. Ces registres prouvent la conclusion du contrat et les consentements que vous avez donnés. Base légale : exécution d’un contrat et respect d’obligations légales (art. 6, par. 1, let. b et c RGPD ; LPD suisse). Ils sont conservés aussi longtemps que votre compte existe. Lorsque vous supprimez votre compte, ils sont conservés à part de tout le reste, liés uniquement à l’empreinte à clé de votre adresse email (section 6) et à votre ancien identifiant de compte, pendant dix ans, le délai de prescription général du droit suisse, puis supprimés.

11 Apps mobiles : autorisations et notifications push

• Notifications push : si vous les activez, un jeton push lié à votre compte est traité pour délivrer les notifications, via Google Firebase Cloud Messaging sur iOS comme sur Android (sur iOS, il s’appuie en dessous sur le service Apple Push Notification). Le jeton est un identifiant servant uniquement à délivrer les notifications rédigées par Kata : jamais pour du tracking ou de la publicité, nous n’utilisons aucun Firebase Analytics, et aucune donnée personnelle ou de santé n’est envoyée à Firebase, seulement le jeton et le texte de la notification. Les jetons sont supprimés lorsque vous désactivez les notifications ou supprimez votre compte. Pour que les notifications arrivent comme vous les avez réglées, nous stockons aussi vos préférences de notification avec votre compte : les catégories choisies, les heures calmes, la fréquence, votre langue et votre fuseau horaire. Un registre d’envoi, indiquant quelle notification est partie et quand, est conservé pendant 21 jours, pour que rien n’arrive deux fois.
• Fichier de sauvegarde (iOS) : l’app iOS écrit une sauvegarde de vos données Kata locales, photos comprises et valeurs HealthKit exclues, sous forme de fichier dans le propre dossier Documents de l’app sur votre iPhone. Ce fichier ne nous est pas envoyé, et Kata ne stocke rien dans votre iCloud personnel. Si la sauvegarde iCloud de votre iPhone est activée, Apple y inclut ce fichier comme toute autre donnée d’app, sous votre compte Apple et selon les conditions d’Apple. Vous pouvez aussi en exporter vous-même une copie.
• Fichiers de sauvegarde et sauvegarde Google (Android) : l’app Android écrit des sauvegardes de vos données Kata locales, photos comprises et valeurs Health Connect exclues, sous forme de fichiers dans son propre stockage privé sur votre téléphone, une fois par semaine sauf si vous choisissez une autre fréquence. Elles ne nous sont pas envoyées. Si la sauvegarde d’Android sur votre compte Google est activée, elle emporte ces fichiers et rien d’autre de Kata : le stockage courant de l’app, qui contient les valeurs Health Connect, en reste exclu, tout comme la copie de la clé de l’instantané scellée par l’Android Keystore (section 7). Cette sauvegarde relève de votre compte Google et des conditions de Google. Lorsque vous passez directement à un nouveau téléphone qui vous appartient, par câble ou en Wi-Fi, Android transfère les fichiers de sauvegarde et le stockage courant de l’app sans les stocker nulle part entre les deux. Vous pouvez aussi en exporter vous-même une copie.
• Caméra, microphone et photothèque : l’accès n’a lieu que lorsque vous prenez ou joignez activement une photo, scannez un code-barres ou parlez à Kata. Il s’effectue localement sur votre appareil ; le contenu n’est transmis qu’au moment où vous l’envoyez à Kata (section 8) et n’est pas stocké par nous. Lorsque vous parlez, votre parole est transformée en texte par la reconnaissance vocale d’Apple (iOS), par celle de votre téléphone (Android), qui sur la plupart des téléphones Android est fournie par Google et peut traiter l’audio sur les serveurs de Google, ou par celle de votre navigateur (web). Chacune peut traiter l’audio selon les conditions propres de son fournisseur ; Kata ne reçoit que le texte qui en résulte.
• Scanner de codes-barres : les codes-barres sont lus sur votre appareil par Google ML Kit, et aucune image de la caméra n’est envoyée nulle part à cette fin. Pour rechercher le produit, votre appareil envoie ensuite le numéro du code-barres à Open Food Facts, qui reçoit aussi votre adresse IP, comme pour toute requête web. Le score est calculé sur votre appareil.
• Apple HealthKit et Google Health Connect : les données de santé que vous choisissez d’importer restent sur votre appareil comme tout contenu de santé (section 7). Lorsque vous posez une question à Kata, les valeurs dont cette question a besoin sont envoyées avec elle à notre fournisseur d’IA pour y répondre (section 8). Nous ne les stockons jamais sur nos serveurs, ne les vendons jamais et ne les utilisons jamais à des fins publicitaires.
• Google Health Connect (Android) : si vous le connectez, Kata lit, sans jamais y écrire, les types que vous autorisez parmi ceux-ci : pas, énergie active, distance, entraînements avec leur fréquence cardiaque, poids, taille, sommeil avec ses phases, fréquence cardiaque au repos et variabilité de la fréquence cardiaque. Kata ne lit que lorsque l’app est ouverte, et pas plus loin que 30 jours avant votre première autorisation, car Kata ne demande pas d’historique plus ancien à Health Connect. Les valeurs sont conservées dans le stockage local de l’app sur votre téléphone. Elles n’entrent jamais dans la sauvegarde Google ni dans l’instantané chiffré, et n’alimentent jamais le résumé de persona de la section 9. Elles ne quittent votre téléphone qu’avec une question à Kata qui en a besoin, envoyées avec elle à notre fournisseur d’IA exactement comme les valeurs d’Apple Health (section 8), ou dans un export ou un transfert direct vers un nouveau téléphone que vous lancez vous-même. Déconnecter Health Connect dans l’app rend à Health Connect les autorisations de Kata et, si vous le choisissez, retire de Kata les valeurs importées ; vous pouvez aussi retirer l’accès dans Health Connect à tout moment.
• App Apple Watch : l’app de la montre se connecte en reprenant la session de votre iPhone jumelé, ou par une connexion par email lorsque ce n’est pas possible. Elle lit sur la montre des données HealthKit, comme la fréquence cardiaque et la VFC, pour vous répondre, et n’y écrit jamais. Une question que vous posez sur la montre est envoyée, avec les valeurs dont elle a besoin, à notre fournisseur d’IA, exactement comme un message dans l’app (section 8).
• Les étiquettes de confidentialité affichées dans l’Apple App Store et sur Google Play décrivent les mêmes pratiques que cette politique. Si une étiquette et cette politique devaient un jour sembler diverger, cette politique constitue la description faisant foi de nos pratiques.

12 Intégration WHOOP

Connecter WHOOP est optionnel. Les jetons OAuth sont stockés sur votre appareil, illisibles par les scripts là où la plateforme le permet, et liés à votre compte Kata, de sorte qu’ils ne fonctionnent que pour le compte qui les a connectés ; ils ne sont stockés dans aucune base de données serveur. Ils servent uniquement à récupérer vos données de récupération, de sommeil, de charge, de VFC, de fréquence cardiaque au repos, de température cutanée et d’entraînement depuis l’API WHOOP (WHOOP, Inc., États-Unis) via notre serveur, qui transmet les données à votre appareil sans les stocker. Lorsque vous posez une question à Kata, les valeurs WHOOP dont elle a besoin sont envoyées avec elle à notre fournisseur d’IA comme contexte (section 8). Vous pouvez révoquer la connexion à tout moment dans l’app ou dans les réglages de votre compte WHOOP.

13 Inviter un ami

Si vous invitez un ami, nous traitons l’adresse email invitée et l’état de la récompense (mois offerts et gagnés) pour faire fonctionner Inviter un ami. Les adresses invitées ne servent qu’à l’invitation et à l’attribution de la récompense, jamais à des listes marketing.

14 Kata Duo et Kata Groups

Kata Duo est facultatif et n’existe qu’à partir du moment où vous le lancez : vous partagez un lien d’invitation, et la personne qui l’accepte devient l’un de vos cinq partenaires de duo au maximum. Pour faire fonctionner une paire, nous stockons les deux identifiants de compte, le code d’invitation aléatoire, l’état de la paire (en attente ou active), un indicateur par côté pour masquer un partenaire sur votre propre profil, ainsi que les dates de création et d’adhésion. Le nom que vous donnez à un partenaire n’en fait pas partie : il reste sur l’appareil où vous l’avez saisi, votre partenaire ne le voit jamais, et nous non plus.

Ce que Duo partage réellement, c’est une ligne par personne et par jour, contenant votre identifiant de compte, la date et une seule valeur oui ou non : si vous avez tenu votre forme ce jour-là. Votre appareil calcule cette valeur à partir de votre propre journée locale, et elle ne dit rien de ce que vous avez fait. Aucune entrée, aucun chiffre, aucun score, aucune série, aucun contenu d’aucune sorte, et rien sur ce qui a été tenu. Une journée sans aucune entrée ne produit aucune ligne, et c’est pourquoi le troisième état que voit votre partenaire est un gris honnête plutôt qu’une affirmation. Seul un compte avec lequel vous avez une paire active peut lire vos lignes, et cette frontière est appliquée par la base de données elle-même ; dès qu’un des deux côtés met fin au duo, la paire et la visibilité disparaissent aussitôt, dans les deux sens.

Base légale : votre consentement, donné lorsque vous créez ou acceptez une invitation de duo et retiré en mettant fin au duo (art. 6 (1) (a) et, parce que la valeur découle de votre usage santé, art. 9 (2) (a) RGPD ; LPD suisse). Conservation : dans le cadre de son écriture quotidienne, l’app supprime vos propres lignes dès qu’elles ont plus de 21 jours, de sorte qu’il n’existe jamais plus d’environ trois semaines de valeurs oui ou non. Mettre fin à un duo supprime la paire immédiatement, et tout disparaît lorsque vous supprimez votre compte.

Kata Groups est le même mécanisme pour plus de deux personnes, et il ne conserve pas plus que Kata Duo. Quand vous lancez un groupe, nous stockons un identifiant de groupe, un nom de groupe et un libellé pour la seule chose que le groupe suit, les codes d’invitation aléatoires et, pour chaque membre, un identifiant de compte, un nom d’affichage propre au groupe et le fait que ce membre masque ou non sa valeur au groupe. Ce qu’un groupe partage est la même valeur unique oui ou non par membre et par jour, à savoir si ce membre a tenu sa journée, et rien sur ce que qui que ce soit a fait : aucun journal, aucun chiffre, aucun score, aucun contenu d’aucune sorte. Seuls les membres d’un groupe peuvent lire les lignes de ce groupe, et cette limite est appliquée dans la base de données elle-même. Que vous masquiez votre valeur à un groupe, vous seul le savez : ce choix n’est jamais montré aux autres membres, et pour eux une valeur masquée ressemble exactement à un jour sans saisie. Vos valeurs et votre appartenance partent dès que vous quittez le groupe ou supprimez votre compte. La base légale, et la dérivation de la valeur à partir de votre usage de santé, sont les mêmes que pour Kata Duo ci-dessus.

15 Partage sécurisé avec un médecin ou une autre personne de votre choix

Vous pouvez envoyer un résumé d’exactement ce que vous sélectionnez à une personne que vous désignez, en général un médecin. Cela n’arrive que si vous le demandez, et cela se passe ainsi. Le résumé est assemblé sur votre appareil et y est chiffré en AES-256-GCM. La clé est placée dans le lien de partage lui-même, dans la partie de l’adresse que les navigateurs ne transmettent jamais à un serveur. Ce lien est assemblé sur votre appareil et c’est vous qui l’envoyez, depuis votre appareil, dans le message et par le canal de votre choix : ni le lien ni la clé ne passent jamais par nos serveurs. Nous stockons une ligne par partage : le texte chiffré, votre identifiant de compte comme propriétaire, une empreinte SHA-256 salée de l’adresse email du destinataire, l’échéance, ainsi que la date de création et celle de la première ouverture.

L’adresse elle-même n’est pas stockée, seulement cette empreinte, salée avec l’identifiant du partage afin qu’elle ne puisse pas être résolue à partir d’une liste d’adresses courantes. Elle existe pour que le code d’accès arrive dans la boîte invitée et dans aucune autre. Nous n’envoyons nous-mêmes aucune invitation : le seul email que nous envoyons pour un partage est ce code d’accès, lorsque le destinataire le demande. Pour ouvrir un partage, le destinataire confirme l’adresse invitée avec un code à 6 chiffres : nous conservons donc aussi les données de suivi que cette vérification exige, soit une empreinte du code actif, sa validité de dix minutes, le nombre de tentatives erronées, plafonné à cinq, le nombre de codes envoyés et la date du dernier. Le code est à usage unique, et le code lui-même n’est jamais stocké. Tout le reste est du texte chiffré : nous n’avons aucun moyen technique de lire le résumé, et personne d’autre non plus sans le lien.

Base légale : votre consentement, donné à chaque création d’un partage et retiré en le révoquant (art. 6 (1) (a) et art. 9 (2) (a) RGPD ; LPD suisse). Conservation : un partage expire 14 jours après sa création, et une ligne expirée est purement et simplement supprimée au prochain accès. Vous pouvez révoquer un partage à tout moment dans l’app, ce qui supprime la ligne et le texte chiffré avec elle, et les partages disparaissent avec votre compte. Une fois un partage terminé, nous ne gardons que son identifiant aléatoire et le moment où il a pris fin, qui ne sont liés à personne, pour que son lien ne puisse plus jamais rien ouvrir. La création est limitée à dix partages par compte et par jour.

16 Données de paiement et d’abonnement

Lorsque vous prenez une formule payante, nous traitons les données nécessaires à votre abonnement : votre formule et son statut, la période de facturation, la devise et le pays utilisés pour les taxes, un identifiant client et d’abonnement, et un relevé des paiements et des remboursements. Nous ne recevons ni ne conservons votre numéro de carte complet ; les données de carte sont gérées par le prestataire de paiement.

• Achats sur le web : les paiements sont traités par Stripe (Stripe Payments Europe, Ltd., Irlande, avec Stripe, Inc., États-Unis), qui gère vos données de carte et calcule la taxe applicable. Nous recevons la confirmation de l’abonnement et les données de facturation limitées ci-dessus, jamais le numéro de carte complet.
• Achats sur l’App Store, dans l’app iOS à partir de la version 1.0.1 de l’app iPhone : Apple est le vendeur et traite le paiement ; nous recevons le statut d’abonnement vérifié (produit, période, renouvellement et résiliation) nécessaire pour débloquer votre formule, pas vos données de paiement.
• Achats sur Google Play, dans l’app Android à partir d’une version ultérieure : Google est le vendeur et traite le paiement ; nous recevons le statut d’abonnement vérifié nécessaire pour débloquer votre formule, pas vos données de paiement.

Base légale : exécution de votre contrat d’abonnement et respect de nos obligations légales, y compris la conservation fiscale et comptable (art. 6 (1) (b) et (c) RGPD ; LPD suisse). Les registres de facturation sont conservés pendant les durées de conservation légales.

Bien-être en entreprise : si une organisation, par exemple votre employeur, prend en charge votre formule, nous enregistrons votre appartenance à cette organisation (l’adresse email qu’elle a invitée, si la place est invitée, rejointe ou retirée, la date de chacune de ces étapes, et la formule que son contrat accorde) afin que la prise en charge puisse être appliquée puis retirée. Pour une invitation envoyée par email, nous enregistrons aussi la date de son dernier envoi et le nombre d’envois. Nous tenons un registre de chaque changement de l’adhésion (invitation, arrivée, départ, retrait) et du contrat de l’organisation, afin que les places et les factures puissent être vérifiées ; il contient des identifiants de compte, jamais votre adresse email et rien sur votre santé. Sur une personne en particulier, le responsable de l’organisation ne voit que l’adhésion : pour chaque personne qu’il a invitée, l’adresse email invitée (une personne qui a rejoint par lien ou par code apparaît sans adresse), si la place est invitée, rejointe ou retirée, la date de ces étapes et, pour une invitation en attente, si elle a expiré ou a été retirée, quand et combien de fois elle a été envoyée. Pour le groupe, il voit les places occupées par rapport aux places couvertes par le contrat, ainsi que l’activation et l’engagement en chiffres. Chaque chiffre d’activité est calculé uniquement à partir des membres qui ont confirmé leur adresse email et réellement utilisé Kata sur la période affichée, jamais à partir des responsables eux-mêmes, et n’apparaît que si au moins cinq de ces membres sont derrière lui, pour que personne ne puisse être isolé. L’organisation ne voit jamais vos données de santé, vos journaux, vos conversations ni la mémoire que Kata a de vous : rien de tout cela n’existe sous forme lisible sur nos serveurs, pas plus pour l’organisation que pour nous. Base légale : exécution du contrat qui couvre votre place (art. 6 (1) (b) RGPD ; LPD suisse). Quitter l’organisation, ou en être retiré, met fin à la prise en charge et laisse vos propres données intactes.

Cadeaux. Lorsque vous offrez Kata Plus, nous traitons ce que vous saisissez : la durée, le design de la carte et sa langue, votre nom et celui de la personne destinataire tels que vous les voulez sur la carte, votre message, la façon dont le cadeau arrive, l’adresse e-mail de la personne destinataire si nous devons l’envoyer par e-mail, et le jour d’envoi. Le prestataire de paiement nous transmet votre adresse e-mail et votre nom pour le reçu et, pour une carte par la poste, l’adresse postale. Si vous êtes connecté, le cadeau est lié à votre compte pour que vous l’y retrouviez. Contrairement à vos données de santé, un cadeau est conservé sur nos serveurs (Supabase, région de Zurich), car la personne à qui vous l’offrez l’ouvre depuis là. Nous l’utilisons uniquement pour remettre le cadeau : montrer la carte et votre message à la personne qui l’ouvre, l’envoyer par e-mail, imprimer et poster la carte, vous envoyer le reçu et les avis indiquant qu’il a été activé et que la carte a été postée, et traiter les remboursements et les questions. Vous apprenez seulement que votre cadeau a été activé, et quand, jamais rien sur le compte qui l’a activé. Base légale : le contrat conclu avec vous (art. 6 (1) (b) RGPD ; LPD suisse).

Recevoir un cadeau. Si quelqu’un vous offre un cadeau par e-mail, nous utilisons votre adresse e-mail et le nom indiqué uniquement pour vous envoyer cet e-mail cadeau, et son message uniquement pour vous le montrer ; votre adresse n’est ajoutée à aucune liste. Lorsque vous activez le cadeau, nous enregistrons quel compte l’a activé et quand, afin d’ajouter les mois. Nous ne lisons le message à aucune autre fin et ne l’utilisons jamais pour le coaching, la personnalisation ou le marketing. Base légale : notre intérêt légitime à remettre un cadeau acheté pour vous (art. 6 (1) (f) RGPD ; LPD suisse), et le contrat conclu avec vous dès que vous l’activez (art. 6 (1) (b) RGPD).

17 Destinataires et transferts à l’étranger

• Supabase (authentification, ainsi que la base qui héberge les registres opérationnels décrits dans cette politique, l’instantané de compte chiffré de l’app web et de l’app Android, les paires et valeurs quotidiennes de Kata Duo et de Kata Groups et les partages sécurisés scellés) : projet hébergé en Suisse, région de Zurich.
• Anthropic (traitement IA pour le coach) : États-Unis ; les requêtes ne sont pas utilisées pour l’entraînement et sont supprimées dans un délai de 30 jours.
• ElevenLabs (voix Kata, uniquement dans les offres payantes : la lecture à voix haute de votre bilan hebdomadaire et de vos lettres, les notes vocales occasionnelles de Mégane, et les réponses parlées quand vous utilisez Talk avec Kata) : États-Unis, traitement transitoire uniquement, le texte est transformé en audio et n’est pas conservé.
• Resend (emails transactionnels, y compris le code d’accès d’un partage sécurisé) : États-Unis.
• Vercel (hébergement) : UE et États-Unis.
• Stripe (traitement des paiements pour les achats sur le web, cadeaux compris) : Stripe Payments Europe, Ltd., Irlande, avec traitement par Stripe, Inc., États-Unis.
• Le service postal qui achemine une carte cadeau imprimée (La Poste suisse et l’opérateur postal du pays de destination), avec uniquement la carte, le message et l’adresse postale.
• Apple et Google (traitement des paiements et des abonnements pour les achats effectués sur l’App Store et Google Play, dès que les apps les proposent) : États-Unis.
• Google Analytics (mesure agrégée de l’usage du site, uniquement avec votre consentement) : Google Ireland Limited, Irlande, avec traitement par Google LLC, États-Unis.
• Google / Firebase Cloud Messaging (livraison du jeton de notification push sur iOS et Android ; sans analyse d’audience) : États-Unis.
• Apple (service Apple Push Notification sous-jacent aux notifications push d’iOS, « Se connecter avec Apple » et son relais email privé, reconnaissance vocale dans l’app iOS, et votre propre sauvegarde iCloud de l’appareil, qui peut inclure le fichier de sauvegarde de l’app) : États-Unis.
• Google (« Se connecter avec Google », et dans l’app Android : la reconnaissance vocale du téléphone lorsque Google la fournit, Google Block Store, qui conserve la clé de l’instantané avec votre compte Google, et votre propre sauvegarde Google de l’appareil, qui peut inclure les fichiers de sauvegarde de l’app) : États-Unis.
• La reconnaissance vocale de votre navigateur (saisie vocale dans l’app web), fournie par l’éditeur du navigateur selon ses propres conditions.
• Google ML Kit (lecture des codes-barres pour le scanner) : s’exécute sur votre appareil ; aucune image de la caméra n’est envoyée à cette fin.
• Open Food Facts (recherche de produits pour le scanner, envoyée depuis votre appareil avec le code-barres et votre adresse IP) : France.
• WHOOP (l’API WHOOP, uniquement si vous connectez WHOOP) : États-Unis.

Lorsque des données parviennent à des prestataires aux États-Unis, le transfert est encadré par les clauses contractuelles types de l’UE et, en cas de certification, par le Swiss-U.S. Data Privacy Framework. Nous ne vendons ni ne louons de données personnelles, et il n’existe aucun autre destinataire.

18 Conservation

Les données de compte sont conservées aussi longtemps que votre compte existe et supprimées lorsque vous supprimez le compte, à l’exception des empreintes à clé de la section 6, conservées 24 mois après la suppression puis supprimées. Les registres de consentement sont conservés aussi longtemps que votre compte existe et, après sa suppression, pendant dix ans, liés uniquement à l’empreinte à clé de votre adresse email et à votre ancien identifiant de compte (section 10). La correspondance des formulaires est conservée aussi longtemps que nécessaire pour traiter la demande. Les comptages agrégés de jetons sont conservés pour la comptabilité des coûts. Les registres de facturation et de paiement sont conservés pendant les durées de conservation légales en matière fiscale et comptable. Les jetons push sont supprimés lorsque les notifications sont désactivées ou que le compte est supprimé ; les préférences de notification sont conservées aussi longtemps que votre compte existe, et le registre d’envoi pendant 21 jours. Notre fournisseur d’IA supprime les requêtes qu’il traite dans un délai de 30 jours. Le battement quotidien et les signaux de persona de la section 9 sont conservés aussi longtemps que votre compte existe et supprimés avec lui. Les données de santé sur votre appareil ne sont conservées que par vous. L’instantané de compte chiffré (section 7) est une ligne unique que chaque sauvegarde réécrit et qui est supprimée avec votre compte ; nous ne détenons à aucun moment de copie lisible de vos données de santé. Les valeurs de Kata Duo sont supprimées dès qu’elles ont plus de 21 jours, et une paire disparaît avec toutes ses valeurs au moment où l’un des deux côtés met fin au duo (section 14). Un partage sécurisé expire 14 jours après sa création, et sa ligne, texte chiffré compris, est supprimée à ce moment-là ou dès que vous le révoquez ; seul son identifiant aléatoire reste, sans lien avec personne, pour que son lien ne s’ouvre plus jamais (section 15). Le dossier d’un cadeau (son code, la durée, le montant payé, l’adresse e-mail de l’acheteur et les dates) est conservé pendant la durée légale de conservation comptable. Les noms, le message et l’adresse e-mail de la personne destinataire sont supprimés 90 jours après l’activation ou le remboursement du cadeau, ou lorsqu’il expire sans avoir été activé ; une adresse postale 90 jours après l’envoi de la carte. Lorsque le compte qui a activé un cadeau est supprimé, le lien du cadeau avec ce compte est retiré (section 16).

19 Sécurité et incidents de données

Tout le transport est chiffré (TLS). Le serveur détient le minimum de données décrit ci-dessus, protégé par des contrôles d’accès et les programmes de sécurité de nos sous-traitants. La mesure la plus forte est architecturale : vos contenus de santé ne sont pas du tout sur nos serveurs, ou n’y figurent que sous forme de texte chiffré dont nous n’avons aucune clé, si bien qu’un incident de notre côté ne peut pas les exposer.

Si un incident de sécurité devait néanmoins affecter des données personnelles que nous détenons, nous l’évaluerons sans retard injustifié et notifierons l’autorité de surveillance compétente ainsi que, lorsque la loi l’exige, les personnes concernées, conformément à l’art. 24 LPD et, le cas échéant, aux art. 33 et 34 RGPD.

20 Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement et de portabilité de vos données personnelles, ainsi que d’un droit d’opposition au traitement. Comme presque toutes les données vivent sur votre appareil, la plupart de ces droits sont entre vos mains : exportez, corrigez ou effacez vos données directement dans l’app. Pour tout ce qui concerne votre compte ou un formulaire soumis, écrivez à contact@yourkata.com. Vous pouvez aussi déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT) ou, lorsque le RGPD s’applique, auprès de votre autorité de contrôle locale.

21 Modifications

Nous mettrons cette politique à jour lorsque le service évoluera. La version en vigueur, avec sa date, est toujours publiée sur cette page. Les changements importants sont annoncés dans l’app.

22 Droit applicable

Cette politique et tout litige en matière de protection des données sont régis par le droit suisse. La lecture technique des mêmes faits se trouve dans la doc Vos données.