Politique de confidentialité

1. Champ d’application

Cette politique concerne l’application bauchgefühl, publiée sur Google Play sous le nom Period Tracker & Cycle Diet (identifiant com.bauchgefuehl.ios, développeur hamstr) et sur l’App Store sous le nom bauchgefühl, ainsi que le site bauchgefuehl.app. L’application permet de suivre le cycle menstruel, de consigner des symptômes et d’obtenir des suggestions alimentaires selon la phase du cycle.

2. Responsable du traitement

Josef Haras (hamstr)
Dr.-Adolf-Schärf-Platz 10/309
1220 Vienne, Autriche
Numéro de TVA : ATU75469459

Contact : josef.haras@hamstr.me
Adresse publique du développeur : office@hamstr.me
Pour les demandes relatives à tes données : office@bauchgefuehl.app
Téléphone : +43 680 5019637

Site : bauchgefuehl.app

3. Données et finalités

Utilisation de l’application

Nous traitons les dates de début et de fin des règles, les jours du cycle, les symptômes et ressentis, les préférences et intolérances alimentaires, les ingrédients et recettes saisis, l’adresse e-mail du compte ainsi que des informations techniques et statistiques d’utilisation. Ces traitements servent aux fonctionnalités de suivi, aux suggestions de recettes et aux contenus personnalisés. Bases : article 6, paragraphe 1, point b du RGPD (contrat) et article 9, paragraphe 2, point a (consentement explicite pour les données de santé).

Visite du site et stockage dans le navigateur

Les données techniques nécessaires au fonctionnement du site comprennent l’adresse IP, le navigateur, le système d’exploitation, la page d’origine et l’heure d’accès. Les journaux techniques sont conservés au maximum 30 jours. Base : article 6, paragraphe 1, point f du RGPD (intérêt légitime au fonctionnement du site).

Les pages françaises et espagnoles utilisent les mêmes outils de mesure d’audience et de publicité que les pages allemandes et anglaises, avec le même bandeau de cookies et uniquement avec ton consentement (voir les sections sur la mesure d’audience, PostHog et Google Tag Manager). Lorsque tu changes de langue, le cookie NEXT_LOCALE mémorise ton choix pendant un an. Une information temporaire dans le stockage de session permet de retrouver ta position de lecture. Le formulaire de contact conserve localement un brouillon sur ton appareil ; il n’est restauré que pendant 7 jours. Tu peux effacer ces éléments dans les données de navigation. Les dates saisies dans les calculateurs français et espagnols sont calculées dans ton navigateur et ne sont pas envoyées à notre serveur.

Contact

Les informations envoyées par e-mail ou formulaire servent à traiter ta demande et d’éventuelles questions complémentaires. Elles ne sont pas communiquées à des tiers sans ton consentement, en dehors des prestataires nécessaires à ce traitement. Base : article 6, paragraphe 1, point f du RGPD. La correspondance est conservée 2 ans après sa clôture.

Newsletter et e-mails de l’application

La newsletter du site est envoyé avec ton consentement via Brevo. Tu peux te désinscrire par le lien de chaque e-mail ou en écrivant à office@bauchgefuehl.app. Base : article 6, paragraphe 1, point a du RGPD.

Lorsque tu démarres une période d’essai ou un accès gratuit dans l’application, des messages de service confirment le début de l’accès et annoncent sa fin. Si tu as enregistré un moyen de paiement, ils précisent le prix et les possibilités de résiliation avant le passage à un abonnement payant. Ces messages ne sont pas publicitaires ; ils relèvent de l’exécution du contrat (article 6, paragraphe 1, point b).

Des e-mails d’accompagnement proposant des conseils et des nouvelles du produit sont facultatifs. Nous enregistrons la date et le texte de ton consentement. Outre ton e-mail, ils peuvent utiliser le nombre de recettes enregistrées ou la date de fin de ton accès. Les entrées de cycle et les symptômes ne sont jamais utilisés pour les e-mails. Tu peux retirer ton consentement à tout moment via le lien de désinscription ou par e-mail ; cela n’affecte pas les traitements antérieurs au retrait. Base : article 6, paragraphe 1, point a.

Ces envois sont assurés dans l’UE par Sendinblue GmbH (Brevo), Köpenicker Str. 126, 10179 Berlin, Allemagne, en qualité de sous-traitant au titre de l’article 28 du RGPD. Les données destinataires sont conservées tant que le compte existe ou jusqu’au retrait du consentement, et supprimées avec le compte.

Notifications et sauvegardes

Les notifications visibles nécessitent ton activation dans les réglages et peuvent être désactivées. Firebase Cloud Messaging transmet aussi des notifications système invisibles aux appareils connectés, indépendamment de ce réglage. Elles ne contiennent ni contenu personnel ni données de santé : elles réveillent brièvement l’application pour préparer une sauvegarde chiffrée et, si tu l’as autorisé, un message proactif.

Les sauvegardes des données de cycle quittent l’appareil uniquement chiffrées ; leur chiffrement et leur restauration sont décrits ci-dessous. Base de la sauvegarde : article 6, paragraphe 1, point b ; notifications visibles : consentement, article 6, paragraphe 1, point a.

Recettes enregistrées et écartées

Le serveur utilise tes choix dans le flux de recettes pour privilégier, à pertinence comparable, les recettes enregistrées et éviter celles écartées. Les exclusions liées aux allergènes et intolérances restent prioritaires. Les gestes de balayage eux-mêmes ne sont pas transmis au service d’IA. Ce traitement intervient dans la fonction de recettes que tu sollicites (article 6, paragraphe 1, point b).

Sauvegarde chiffrée, coffre de la clé de secours et restauration

Stockage local et sauvegarde. L’application enregistre tes données de cycle et de journal dans une base de données chiffrée (SQLCipher) sur ton appareil. Pour éviter toute perte en cas de perte ou de changement d’appareil, elle crée automatiquement des sauvegardes. Chaque sauvegarde est chiffrée sur ton appareil avec une clé de sauvegarde avant l’envoi, puis stockée chez Supabase (UE, Francfort). La clé est générée par l’application et n’est jamais stockée en clair chez nous. Les informations techniques nécessaires au stockage (rattachement au compte, date et version des fichiers) ne sont pas chiffrées.

Moyens de restauration. Pour rendre une sauvegarde lisible sur un nouvel appareil, l’application a besoin de la clé de sauvegarde :

Note de déploiement. Le coffre de la clé de secours, la libération par code e-mail, les e-mails de sécurité associés et le rapport d’état de la sauvegarde arrivent avec une prochaine mise à jour de l’application. Tant que tu ne l’as pas installée, l’application ne dépose aucune clé de sauvegarde dans le coffre et n’envoie aucun rapport d’état ; ta sauvegarde ne peut alors être restaurée qu’avec ton code de récupération ou via la synchronisation des clés de la plateforme. Nous activons la suppression automatique des anciennes sauvegardes sur notre serveur lors de l’introduction du coffre.

Coffre de la clé de secours (par défaut). Par défaut, l’application dépose aussi chez nous une copie chiffrée de ta clé de sauvegarde, afin que tu puisses récupérer ta sauvegarde même si ton appareil est perdu et qu’aucun autre moyen n’est disponible, par exemple lors d’un passage entre iPhone et Android. Sur ton appareil, l’application chiffre la clé avec l’identifiant de ton compte à l’aide de la clé publique d’un module matériel de sécurité (HSM) de Google Cloud Key Management Service, dans la région UE europe-west3 (Francfort). Nous stockons ce paquet chiffré chez Supabase ; il est lié à ton compte et n’est libéré que pour lui. La clé privée correspondante reste exclusivement dans le HSM et ne peut pas être exportée.

Libération uniquement avec un code envoyé par e-mail. L’application ne reçoit la clé du coffre que si tu lances la restauration et saisis un code à usage unique envoyé à l’adresse e-mail de ton compte. Le code est valable 15 minutes ; nous n’en conservons qu’une empreinte (hash), supprimée 7 jours après expiration. Au maximum 3 codes peuvent être demandés par 24 heures ; après 5 saisies erronées en 60 minutes, la libération est bloquée pendant 60 minutes. Après une saisie correcte, notre serveur fait déchiffrer le paquet dans le HSM et transmet la clé à l’application via une connexion chiffrée (TLS). Nous consignons chaque dépôt, demande de code, saisie erronée, blocage, libération et chaque activation ou désactivation de « Uniquement avec mon propre code » dans un journal dédié (événement, date et, le cas échéant, plateforme et identifiant de la clé concernée) ; chaque déchiffrement dans le HSM est en outre consigné dans le journal d’audit de Google Cloud. Nous t’informons par e-mail de chaque libération.

Vérification de la réception des e-mails. Dès que cette vérification est disponible dans l’application, nous enregistrons sur ton compte un horodatage du moment où nous avons pu vérifier que nos e-mails te parviennent, par exemple parce que tu as saisi dans l’application un code de test reçu dans l’un de nos e-mails (si l’application te demande cette vérification) ou utilisé un lien de connexion reçu par e-mail. L’objectif est que la libération par code envoyé à ton adresse e-mail fonctionne en cas de besoin. Comme pour les codes de libération, nous ne conservons qu’une empreinte (hash) des codes de test ; ils sont valables 15 minutes et leur empreinte est supprimée 7 jours après expiration. Nous supprimons l’horodatage avec ton compte.

Ce qui est techniquement possible. Nous ne lisons pas tes sauvegardes. Tant que ta clé est déposée dans le coffre, un accès de notre part n’est toutefois pas techniquement exclu : avec les identifiants de notre serveur pour le HSM, nous pourrions, en tant qu’exploitant, faire déchiffrer une clé déposée. Personne ne peut copier la clé privée hors du HSM, et tout déchiffrement de ce type serait consigné dans le journal d’audit de Google Cloud. Pour l’exclure, utilise « Uniquement avec mon propre code ».

« Uniquement avec mon propre code » (désactivation). Dans les réglages de l’application, tu peux désactiver le dépôt à tout moment si tu as configuré un code de récupération à jour. Nous supprimons alors tous les paquets du coffre liés à ton compte. La restauration n’est ensuite possible qu’avec ton code de récupération ou la synchronisation par la plateforme ; si tous les moyens sont perdus, la sauvegarde ne peut plus être restaurée. Si tu réactives le coffre, l’application dépose un nouveau paquet. Chaque changement t’est signalé par e-mail.

Rapport d’état de la sauvegarde. Pour détecter les problèmes de sauvegarde, l’application envoie au démarrage, au maximum une fois par heure, un rapport technique : plateforme, version de l’application, ouverture ou non de la base locale, présence des clés de base de données et de sauvegarde sur l’appareil, disponibilité de la sauvegarde cloud du Block Store, présence d’un paquet dans le coffre et d’un code de récupération à jour, dates de la dernière sauvegarde et de la dernière restauration, et un état global. Il ne contient aucun contenu de cycle ou de santé ni identifiant d’appareil. Seul le dernier rapport par compte est conservé.

Les codes, avis de libération et avis concernant « Uniquement avec mon propre code » sont envoyés via Brevo ; les réponses arrivent à office@bauchgefuehl.app. Bases : article 6, paragraphe 1, point b du RGPD (exécution du contrat : sauvegarde, restauration et e-mails de sécurité associés) et, pour les données de santé, article 9, paragraphe 2, point a (consentement explicite, voir « Utilisation de l’application ») ; pour le rapport d’état, article 6, paragraphe 1, point f (intérêt légitime au bon fonctionnement de la sauvegarde).

4. Prestataires et destinataires

Supabase

Supabase fournit la base de données, l’authentification et le stockage des sauvegardes chiffrées, avec stockage dans l’UE à Francfort. Un contrat de sous-traitance encadre ces traitements.

Google Vertex AI : recettes

Lorsque tu utilises volontairement la fonction de recettes assistée par IA, ta phase du cycle, tes symptômes, tes préférences, les ingrédients saisis et le temps de préparation souhaité sont transmis pour produire la réponse. Ces données ne servent pas à entraîner des modèles d’IA. Un contrat de sous-traitance incluant les clauses contractuelles types de l’UE s’applique : accord Google Cloud sur le traitement des données. Bases : article 6, paragraphe 1, point b et article 9, paragraphe 2, point a du RGPD, avec le consentement explicite associé à l’utilisation volontaire de cette fonction.

Google Vertex AI : messages proactifs

Cette fonction est désactivée par défaut. Si tu actives les messages proactifs, l’application peut transmettre en arrière-plan, même lorsqu’elle est fermée, la phase actuelle du cycle et, avec l’autorisation Health supplémentaire, un résumé récent d’activité et de sommeil. Google Vertex AI traite ces données dans la région UE europe-west3 pour rédiger au maximum un message par jour.

Il s’agit de données de santé. Le traitement repose sur ton consentement explicite (articles 6, paragraphe 1, point a et 9, paragraphe 2, point a). Tu peux le retirer avec le même interrupteur ; les transmissions cessent alors pour cette finalité. Les données servent uniquement au message demandé et ne sont utilisées pour entraîner des modèles ni par nous ni par Google. L’accord Google Cloud précité s’applique.

Google Cloud Key Management Service : coffre de la clé de secours

Pour le coffre de la clé de secours, nous utilisons Google Cloud Key Management Service avec un module matériel de sécurité dans la région UE europe-west3 (Francfort). Lors d’une libération, Google traite le paquet chiffré et renvoie la clé déchiffrée à notre serveur ; Google consigne aussi les opérations sur la clé dans un journal d’audit. Tes sauvegardes elles-mêmes ne sont pas transmises à Google. L’accord Google Cloud précité s’applique, avec les clauses contractuelles types de l’UE. Les bases sont celles indiquées pour le coffre.

Brevo

Brevo (Sendinblue GmbH, Berlin) envoie la newsletter, les e-mails de l’application et les e-mails de sécurité du coffre, avec stockage dans l’UE. Un contrat de sous-traitance s’applique.

Mesure d’audience et publicité du site

Sur les pages du site qui les activent, Google Analytics et le pixel Facebook servent à la mesure des visites, des conversions et au remarketing avec le consentement donné dans le bandeau de cookies (article 6, paragraphe 1, point a). Google Tag Manager gère ces outils. Le consentement peut être retiré via le bandeau ; Google propose également un module de désactivation d’Analytics. L’adresse IP est anonymisée avant stockage dans Analytics.

Sur le site, PostHog utilise un hébergement UE à Francfort. Avant consentement, la mesure est anonyme, sans cookie ni reconnaissance de l’appareil, avec anonymisation de l’IP sans stockage (article 6, paragraphe 1, point f). Après consentement, les cookies permettent l’analyse du parcours et l’enregistrement anonymisé des interactions ; les champs sont masqués, le quiz, la connexion et le paiement sont exclus des enregistrements, conservés 30 jours (article 6, paragraphe 1, point a). Un contrat de sous-traitance s’applique. Le consentement peut être retiré dans le bandeau de cookies.

PostHog dans l’application

PostHog Inc. traite les statistiques d’utilisation sur des serveurs de l’UE, à Francfort (eu.posthog.com), avec anonymisation de l’IP avant stockage. Aucune donnée de santé, aucun contenu d’entrée de cycle, symptôme ou humeur n’est envoyé aux systèmes d’analyse.

Au début du parcours (installation, découverte, inscription), les événements techniques sont anonymes, sans identifiant enregistré sur l’appareil ; chaque démarrage crée une session non reliée aux précédentes. Après inscription, seul ton consentement explicite permet de relier de manière pseudonyme des événements d’utilisation à ton compte, jamais leur contenu de santé. Le réglage des statistiques d’utilisation permet de retirer ce consentement ; la collecte s’arrête et l’identifiant d’analyse est abandonné. Bases : articles 6, paragraphe 1, point a et 9, paragraphe 2, point a. Un contrat de sous-traitance incluant les clauses contractuelles types de l’UE s’applique.

Google Firebase dans l’application

Firebase Cloud Messaging, Crashlytics et Performance Monitoring servent aux notifications, aux rapports d’erreurs et aux performances. Ils traitent notamment le jeton et le modèle de l’appareil, les versions du système et de l’application ainsi que les journaux de plantage, sans données de santé. Les rappels de cycle classiques sont calculés sur l’appareil. Firebase Analytics n’est pas utilisé. Bases : exécution des fonctions activées (article 6, paragraphe 1, point b) et intérêt légitime à la stabilité et à la correction des erreurs (point f).

App Store et Google Play

Lors du téléchargement et de l’utilisation des boutiques, les politiques de confidentialité d’Apple et de Google s’appliquent à leurs traitements, sur lesquels nous n’avons pas d’influence.

5. Conservation et suppression

Tu peux demander la suppression de ton compte ou le faire dans le profil de l’application. Un délai de 7 jours permet d’annuler la demande ; une reconnexion dans l’application pendant ce délai l’annule également. Ensuite, les données, y compris toutes les sauvegardes, la copie de clé chiffrée avec ton code de récupération, les paquets et le journal du coffre et le rapport d’état, sont supprimées de manière irréversible dans nos systèmes et auprès des sous-traitants. La suppression complète intervient au plus tard dans les 30 jours, sauf obligations légales de conservation. Un abonnement App Store ou Google Play doit être résilié séparément.

6. Tes droits

Tu disposes des droits d’accès (article 15), de rectification (16), d’effacement sous réserve des obligations légales (17), de limitation (18), de portabilité (20), d’opposition aux traitements fondés sur l’intérêt légitime (21) et de retrait du consentement pour l’avenir (7, paragraphe 3).

Contact : office@bauchgefuehl.app. Tu peux aussi déposer une réclamation auprès de l’autorité autrichienne de protection des données : Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Vienne, dsb@dsb.gv.at, site de la DSB.

7. Sécurité

Nous utilisons des mesures techniques et organisationnelles contre l’altération, la perte, la destruction et l’accès non autorisé. Les transmissions utilisent TLS/HTTPS. Les mesures évoluent avec les technologies.

8. Mise à jour

Cette traduction reprend la politique allemande du 1er octobre 2026 et précise le fonctionnement des pages françaises et espagnoles à cette date, à laquelle elles ont adopté le même bandeau de cookies et les mêmes outils soumis au consentement que le reste du site. La politique peut être adaptée pour tenir compte de changements de nos services ou des exigences applicables ; la nouvelle version s’applique lors de ta prochaine visite.