Vos journaux de santé
Repas, eau, séances, pesées, sommeil, compléments, suivis et vos bilans du jour, humeur comprise.
Sécurité
Privé par construction.
Un coach santé ne fonctionne que si vous pouvez tout lui dire. Cette page dit donc clairement ce qui reste sur votre appareil, ce qui le quitte et pourquoi, et comment tout ce qui circule est protégé. Chaque affirmation de cette page décrit la façon dont Kata est réellement construit, pas la façon dont nous espérons qu’il se comporte.
Sur votre appareil
Ce qui vit sur votre appareil.
Vos contenus personnels sont enregistrés sur votre appareil, dans le stockage local de l’app. Rien ici ne transite par une base de contenus Kata, parce qu’il n’y en a pas. Dans l’app web et l’app Android, un instantané de restauration circule aussi, et il quitte votre appareil déjà scellé : il fait l’objet de sa propre section plus bas.
Vos conversations
Chaque échange avec Kata, et la mémoire de faits validés qu’il construit avec vous.
Vos photos
Les photos de progression et de repas sont stockées dans la base de données locale de l’appareil, jamais dans la nôtre. L’instantané scellé de l’app web et de l’app Android les exclut entièrement ; sur iPhone et sur Android, elles restent dans les fichiers de sauvegarde que garde votre téléphone.
Le plus privé
Préoccupations de santé, noms de médicaments, journal du cycle et lettres Sensei restent sur l’appareil comme tout le reste, et font en plus l’objet d’un soin particulier.
Vos saisons et vos semaines
Les semaines closes, les saisons conservées et tous les enseignements tirés de vos données sont calculés et stockés localement.
Tout voir, tout supprimer
La page « Ce que Kata sait de moi », dans l’app, liste chaque fait que Kata détient, avec sa source, et vous permet de supprimer n’importe lequel d’entre eux.
Sur le réseau
Ce qui part, et pourquoi.
Les serveurs de Kata sont volontairement ennuyeux : votre compte et votre formule, les registres de consentement, les réglages de notifications et le jeton push, des compteurs d’usage et des traits de persona pseudonymes, les points de Duo et de groupe et les partages sécurisés que vous créez, une appartenance d’entreprise et son historique si un employeur vous prend en charge, un cadeau que vous offrez ou recevez (sa carte, les noms et le message qu’elle porte, gardés jusqu’à 90 jours après son activation), et pour l’app web et l’app Android un instantané de restauration scellé. Jamais vos journaux, vos conversations, vos photos ni la mémoire que Kata a de vous. Voici les moments où des données transitent, toujours sur une connexion chiffrée.
Quand vous parlez à Kata
Votre message et juste ce qu’il faut de contexte, y compris les valeurs Apple Health, Health Connect ou WHOOP dont une question a besoin, partent vers l’IA, servent à cette seule demande et reviennent. Les serveurs de Kata n’en gardent aucune copie : il ne reste chez nous qu’une ligne sans contenu, avec le nombre de jetons et le niveau de modèle. Le fournisseur d’IA, Anthropic, ne s’en sert jamais pour s’entraîner et l’efface sous 30 jours.
Votre compte
Une adresse e-mail et une connexion, votre formule et la trace de ce que vous avez accepté : de quoi faire exister votre compte et pouvoir le récupérer. Supprimez votre compte, et chaque ligne opérationnelle vous concernant disparaît avec lui, hormis les registres de facturation, la trace de ce que vous avez accepté et des empreintes à sens unique qui limitent les offres gratuites à une fois par personne.
Un signal quotidien
Une fois par jour, l’app signale que votre plateforme a été active et envoie trois informations simples : la plateforme, la version de l’app et un code pays déterminé sur notre serveur. Aucune donnée de santé, aucun comportement, rien sur votre journée.
Partages, lettres et instantané
Un partage sécurisé et l’existence d’une lettre ne partent que si vous le demandez. Dans l’app web, l’instantané de restauration part tout seul : après un changement, au plus une fois par quart d’heure, et toutes les six heures quand rien n’a changé, pour qu’un nouveau navigateur puisse retrouver votre historique grâce à votre code de récupération. L’app Android fonctionne de la même façon. L’instantané est chiffré sur votre appareil avant de partir : ce qui circule est du texte chiffré.
Quand Kata parle
Avec les formules payantes, le texte d’une lecture à voix haute, d’une note vocale ou d’une réponse parlée dans Talk est envoyé à un fournisseur de voix pour être transformé en audio. C’est transitoire, et rien n’est enregistré ni conservé.
Notifications
Activez-les, et le jeton push de votre appareil ainsi que vos choix sont gardés avec votre compte : catégories, heures calmes, fréquence, langue et fuseau horaire, pour qu’un rappel arrive à la bonne heure locale. Un court registre de ce qui a été envoyé est conservé 21 jours, pour que rien n’arrive deux fois.
Les mesures
Comment ce qui circule est protégé.
Là où des données circulent, la protection est structurelle : du chiffrement et des règles de propriété qui font partie du code, et non d’une simple promesse.
Chiffré en transit
Chaque connexion entre l’app, nos serveurs et l’IA passe par TLS. Il n’existe aucun chemin non chiffré.
Jetons de connexion scellés
Votre connexion WHOOP n’atterrit jamais dans une base de jetons côté serveur. Sur votre téléphone, le jeton vous revient sous forme de bloc scellé et chiffré que seules nos fonctions serveur peuvent ouvrir ; sur le web, il vit dans un cookie httpOnly.
Le partage chiffré
Quand vous envoyez un partage de données à un médecin, le résumé est chiffré sur votre appareil en AES-256-GCM. La clé ne voyage que dans le lien lui-même et n’est jamais envoyée ni stockée sur nos serveurs : nous détenons du texte chiffré, un hachage salé de l’e-mail du destinataire et une date d’expiration.
L’instantané de compte scellé
L’instantané de restauration de l’app web et de l’app Android est chiffré sur votre appareil en AES-256-GCM avant d’être envoyé. La clé est une valeur aléatoire de 256 bits qui vit dans le stockage sécurisé de votre appareil et dans votre code de récupération, et elle ne nous est jamais transmise : ni dans la ligne, ni dans une colonne, ni dans un en-tête. Nous ne stockons que l’enveloppe scellée, sans clé, sans identifiant de clé et sans valeur de contrôle à côté : il n’y a rien à lire ici, et rien qui permette de vérifier une supposition.
Des tables réservées au propriétaire
Chaque table opérationnelle est protégée par la sécurité au niveau des lignes. La seule ligne qui contient du contenu de compte, l’instantané de restauration scellé, n’est accessible qu’à votre propre compte connecté : aucun autre compte ne peut l’atteindre, et personne ne peut la lire, nous compris.
Sauvegardes
Votre sauvegarde, entre vos mains.
Les sauvegardes existent pour qu’un téléphone perdu ne signifie jamais un historique perdu, et elles suivent les mêmes règles de propriété que tout le reste.
- L’app iPhoneKata écrit un simple fichier de sauvegarde dans le dossier Documents de l’app, photos comprises et valeurs Apple Health exclues, puisque Apple Health les conserve lui-même. La sauvegarde iCloud de votre iPhone inclut ce fichier comme n’importe quelle autre donnée d’app, protégé de la même façon qu’Apple protège cette sauvegarde, et vous pouvez en exporter une copie à tout moment. Rien de tout cela n’atteint nos serveurs, et rien ne se restaure tout seul à la connexion.
- L’app AndroidKata écrit des fichiers de sauvegarde dans son propre stockage privé sur votre téléphone, une fois par semaine sauf si vous choisissez une autre fréquence, photos comprises et valeurs Health Connect exclues, et votre propre sauvegarde Google peut les inclure. L’app Android garde aussi chez nous un instantané de restauration scellé, exactement comme l’app web ci-dessous, et sa clé est elle aussi conservée avec votre compte Google : un nouveau téléphone Android configuré depuis ce compte peut ainsi ouvrir l’instantané sans le code de récupération.
- L’app webUn navigateur n’a pas de cloud privé par personne sur lequel s’appuyer, alors Kata garde un instantané de restauration par compte dans notre base : une ligne, réservée à votre compte par la sécurité au niveau des lignes, sans photos, rafraîchie au plus une fois par quart d’heure après un changement, et toutes les six heures sinon. Il est chiffré sur votre appareil avant de partir, sous une clé que nous ne recevons jamais : la ligne ne contient que du texte chiffré, que nous n’avons aucun moyen technique de lire. C’est votre code de récupération qui l’ouvre sur un nouvel appareil, et si le scellement est impossible, rien n’est envoyé du tout.
- Exporter mes donnéesIndépendamment des deux : un fichier complet avec toutes vos données, préparé sur votre appareil. Gardez-le où vous voulez, importez-le partout.
FAQ
Questions légitimes, réponses franches.
Où sont réellement stockées mes données ?
Sur votre appareil. Journaux, historique de chat, ce que Kata retient de vous, photos et jetons d’intégration sont écrits sur votre appareil, pas dans une base de contenus chez nous. Deux choses circulent : votre message et le contexte nécessaire partent vers l’IA pour générer une réponse, les serveurs de Kata n’en gardent aucune copie et le fournisseur d’IA l’efface sous 30 jours sans s’en servir pour s’entraîner ; et, dans l’app web et l’app Android, un instantané de restauration de votre compte, chiffré sur votre appareil avec une clé que nous ne recevons jamais, si bien que nous détenons du texte chiffré que nous ne pouvons pas ouvrir. C’est la façon dont Kata est construit, pas une simple promesse. Tous les détails dans le modèle de données et de confidentialité.
Que voit le serveur ?
- L’essentiel de votre compte : adresse e-mail et horodatages de connexion.
- La fréquence d’ouverture de l’app et sa dernière activité.
- Des chiffres agrégés d’usage de l’IA pour l’usage équitable : jamais ce qui a été dit.
- Une image pseudonyme de vous, calculée par l’app sur votre appareil et liée à votre compte : un mot d’archétype et des traits sommaires comme le niveau d’activité, le rythme de sommeil ou la phase. Jamais de noms, de chiffres ni de contenu.
- Votre statut d’invitation, votre formule et l’état de son abonnement.
- Votre jeton push et vos réglages de notifications : catégories, heures calmes, fréquence, langue et fuseau horaire, ainsi qu’un registre, sur 21 jours, de ce qui a été envoyé.
- La trace des versions des Conditions d’utilisation et de la Politique de confidentialité que vous avez acceptées.
- Si vous les utilisez : le point quotidien oui ou non d’un Duo ou d’un groupe, les partages sécurisés scellés que vous créez, et votre adhésion, avec son historique (quand vous avez été invité, êtes arrivé ou êtes parti), lorsqu’une entreprise prend en charge votre formule.
- Si vous offrez ou recevez un cadeau : son code, sa durée et sa carte, les noms et le message qu’il porte, la façon dont il arrive (l’e-mail de la personne destinataire ou une adresse postale), et qui l’a activé et quand. Les noms, le message et les adresses sont supprimés 90 jours après l’activation.
- Dans l’app web et l’app Android, un instantané de restauration de votre compte : un bloc scellé dont nous ne détenons aucune clé.
- Les journaux techniques d’hébergement standard (IP, heure de la requête) chez Vercel.
Jamais lisibles pour nous : vos conversations, vos journaux, ce que Kata retient de vous, vos décisions. Vos photos ne sont jamais stockées sur nos serveurs. Ce que contient l’instantané de restauration est du texte chiffré, scellé sur votre appareil avec une clé que nous ne recevons jamais : nous pouvons le détenir, pas l’ouvrir. Nous ne construisons jamais de profil publicitaire à partir de tout cela et ne vendons jamais rien de tout cela. Le site vitrine utilise, lui, une mesure d’audience basique et agrégée, que vous pouvez refuser, et qui n’a jamais accès à rien de tout cela.
Puis-je exporter ou effacer mes données ?
Oui. L’app propose un export JSON complet, à garder comme votre propre sauvegarde, et une fonction d’effacement qui supprime tout de l’appareil. Supprimer votre compte efface l’enregistrement lié à votre adresse e-mail et, pour l’app web et l’app Android, l’instantané chiffré avec elle. Sur le web et sur Android, gardez votre code de récupération : un instantané ne s’ouvre qu’avec la clé de votre appareil ou ce code, et même nous ne pouvons pas l’ouvrir pour vous.
Que se passe-t-il quand je parle à Kata ?
Votre message, plus le contexte minimal nécessaire pour répondre, y compris les valeurs Apple Health, Health Connect ou WHOOP dont la question a besoin, est envoyé chiffré à notre fournisseur d’IA, Anthropic, qui y répond, ne s’en sert jamais pour s’entraîner et l’efface sous 30 jours. Les serveurs de Kata n’en gardent aucune copie. Votre voix est transformée en texte par la reconnaissance vocale d’Apple sur iPhone, celle de votre téléphone sur Android ou celle de votre navigateur sur le web avant que quoi que ce soit ne nous parvienne, et les photos ne vont à l’IA que lorsque vous les envoyez.
Kata apprend-il de mes données ?
Oui, d’une façon dont nous sommes fiers. Kata apprend à partir de tendances abstraites, comme « les sportifs du matin au sommeil régulier tiennent leurs plans », pour que le produit s’améliore pour tout le monde. Ce à partir de quoi il apprend, c’est une esquisse sommaire et pseudonyme (un archétype et des traits comme le niveau d’activité ou le rythme de sommeil, liés à votre compte mais jamais à vos contenus), calculée sur votre appareil. Jamais vos conversations, jamais vos journaux, jamais vos photos, jamais rien qui raconte votre histoire. Tout cela reste chez vous, point final.
Que deviennent mes données si je supprime mon compte ?
Supprimer votre compte efface votre adresse e-mail et vos données de connexion de nos systèmes, avec tout ce qui y est lié : votre formule, vos réglages de notifications, les points de Duo et de groupe, vos partages et, pour l’app web et l’app Android, l’instantané chiffré. Ce qui reste : les registres de facturation pendant leur durée légale de conservation, la trace de ce que vous avez accepté pendant dix ans et, pendant 24 mois, des empreintes à sens unique de votre adresse e-mail et de votre connexion, pour que le mois gratuit et les récompenses d’invitation ne profitent qu’une fois à chaque personne. Rien de lisible sur votre santé ne s’y est jamais trouvé. Effacer l’app vide vos données locales complètement et instantanément. Exportez d’abord si vous voulez une sauvegarde.
Comment les photos de physique restent-elles privées ?
Les photos de progression sont écrites sur votre appareil, comme tout ce qui est personnel. Elles ne sont jamais stockées sur nos serveurs : l’instantané scellé de l’app web et de l’app Android les exclut entièrement, et elles ne servent à rien d’autre qu’à votre propre avant/après. Sur iPhone, elles font partie du fichier de sauvegarde inclus dans la sauvegarde iCloud de votre téléphone, et sur Android, des fichiers de sauvegarde que votre sauvegarde Google peut inclure. Si vous demandez à Kata d’en analyser une, l’image part chez le fournisseur d’IA pour cette seule réponse : les serveurs de Kata n’en gardent aucune copie, et le fournisseur l’efface sous 30 jours.
Quel fournisseur d’IA Kata utilise-t-il, et combien de temps un message est-il conservé ?
C’est Anthropic qui fait tourner le coach : votre message et le contexte nécessaire y sont envoyés pour rédiger la réponse. Anthropic ne s’en sert pas pour l’entraînement et l’efface sous 30 jours, et les serveurs de Kata eux-mêmes ne gardent aucune copie de la conversation. ElevenLabs transforme en audio ce que Kata dit à voix haute, dans une voix Kata, celle de Mégane ou une autre de votre choix, avec Kata Plus et Unlimited, et ne reçoit que le texte de cette réponse.
Comment supprimer mon compte ?
Dans l’app : ouvrez Profil, faites défiler jusqu’en bas, choisissez Supprimer le compte et tapez DELETE pour confirmer. Votre compte et ses enregistrements côté serveur disparaissent aussitôt, hormis les registres de facturation, la trace de ce que vous avez accepté et des empreintes à sens unique qui limitent les offres gratuites à une fois par personne (voir Supprimer votre compte), et les données Kata de cet appareil sont effacées avec lui. Exportez d’abord si vous voulez en garder une copie.