Politique de confidentialité — Echo

La présente politique de confidentialité décrit la manière dont Agylos collecte, utilise et protège vos données personnelles lorsque vous utilisez l'application mobile Echo (ci-après « Echo » ou « l'application »).

Echo est distribuée dans l'Union européenne ainsi qu'au Canada. Les utilisateurs résidant au Canada disposent de droits complémentaires au titre de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA) et, pour les résidents du Québec, au titre de la Loi 25 (loi modernisant les dispositions législatives en matière de protection des renseignements personnels) — les modalités sont précisées en §7.1.

Elle vaut information au sens des articles 13 et 14 du Règlement Général sur la Protection des Données (RGPD, UE 2016/679) et de la loi Informatique et Libertés modifiée.

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

Agylos, société par actions simplifiée (SAS) au capital de 5 000 €, immatriculée au Registre du Commerce et des Sociétés de Nanterre sous le numéro 815 320 528, dont le siège social est situé Bâtiment E, 15 Rue des Bigots, 92190 Meudon, France, représentée par Pierre Navarre, en qualité de Président.

Pour toute question relative à vos données personnelles ou à la présente politique, vous pouvez contacter Agylos par courrier électronique à l'adresse privacy.echo@agylos.eu.

Agylos n'a pas désigné de délégué à la protection des données (DPO) au sens de l'article 37 du RGPD. Aucun des trois critères de l'article 37.1 n'est réuni au moment de la publication de la présente politique : (a) Agylos n'est pas une autorité ou un organisme public ; (b) les activités de base ne consistent pas en des opérations de traitement exigeant un suivi régulier et systématique à grande échelle ; (c) le traitement à titre principal de données de catégories particulières (Art. 9 — préoccupation principale de bien-être T-14) n'atteint pas le seuil « grande échelle » au sens des lignes directrices CEPD WP243 compte tenu du volume attendu au PMV (quelques centaines à quelques milliers d'utilisateurs actifs, périmètre UE + Canada). Agylos pourra désigner un DPO à titre volontaire ultérieurement, à mesure que le volume ou le périmètre du service évoluera.

2. Données personnelles collectées

Echo collecte uniquement les données strictement nécessaires à son fonctionnement. La liste ci-dessous détaille chaque catégorie de données par référence au registre interne des traitements tenu au titre de l'article 30 du RGPD.

2.1. Données d'identification et d'authentification

• Identifiant Apple opaque (apple_sub) transmis par le service « Se connecter avec Apple ».
• Adresse électronique Apple, réelle ou anonymisée par le service de relais Apple (Hide My Email), si vous choisissez de la partager.
• Identifiant utilisateur interne (userId) opaque, généré par Agylos et jamais exposé publiquement. Cet identifiant sert de pivot pour rattacher l'ensemble de vos données à votre compte.
• Adresse email de récupération (facultatif) que vous saisissez dans la section Profil de l'application afin d'anticiper une perte d'accès à votre méthode de connexion Apple. Cette adresse fait l'objet d'un envoi d'un lien de vérification unique via notre partenaire Sinch (Mailgun EU) — voir §4.9 et §5. Vous pouvez la retirer à tout moment.

2.2. Données de profil

• Prénom, saisi lors de la création de votre compte, utilisé pour personnaliser les messages du coach.
• Date de naissance, utilisée pour vérifier la condition d'âge minimum (16 ans, seuil par défaut de l'article 8.1 du RGPD) et pour adapter le contenu à votre profil.
• Préférences d'adressage et de personnalisation du coach : forme d'adresse grammaticale (tutoiement / vouvoiement), langue d'interface, pays de résidence, préférence d'accord grammatical pour la manière dont Echo s'adresse à vous (le champ interne addressGender, collecté à la seule fin de choisir le bon accord dans les tournures françaises — sans usage clinique, statistique ou marketing), genre du coach persona souhaité.
• Préoccupation principale de bien-être que vous confiez à Echo pour personnaliser votre accompagnement — collectée uniquement si vous cochez la case de consentement dédiée pendant l'onboarding (voir §3 et §4.8). Lorsque vous nous confiez votre préoccupation principale à l'inscription, nous conservons à la fois votre message tel que vous l'avez écrit (dans la limite de 1 000 caractères) et une catégorisation générale de ce message parmi les sept thèmes suivants : stress, anxiété, sommeil, dépression, burnout, relations, autre. Cette catégorisation est produite automatiquement par un modèle d'Anthropic (Claude Haiku 4.5) appelé côté serveur au moment de votre inscription, dans un contexte pseudonymisé. Vous pouvez retirer votre consentement à tout moment depuis la section Confidentialité de votre profil ; le retrait supprime alors conjointement votre message et sa catégorisation (voir §7).
• Horodatages de vos consentements, recueillis lors de votre onboarding : l'acceptation des conditions générales d'utilisation et de la présente politique (consents.termsAcceptedAt), accompagnée du numéro de version du contrat accepté (consents.termsVersion) ; le consentement distinct au traitement de votre préoccupation principale (consents.primaryConcernAcceptedAt) ; et votre décision sur l'analyse d'usage — date de l'accord en vigueur (consents.analyticsAcceptedAt) et date de la dernière décision exprimée, acceptation comme refus (consents.analyticsDecidedAt).
• Contexte technique de votre appareil (locale, fuseau horaire).

2.3. Contenus que vous saisissez dans l'application

• Indicateurs de suivi : jusqu'à dix indicateurs standards et un slot d'expérience, avec les valeurs numériques que vous saisissez chaque jour (par exemple : humeur, sommeil, énergie, sérénité, hydratation).
• Messages du rendez-vous hebdomadaire échangés avec le coach, ainsi que les interactions avec les widgets proposés.
• Synthèses de rendez-vous (reviewConsolidation) produites par le coach pour maintenir une mémoire longitudinale utile à votre accompagnement.

2.4. Données techniques et de mesure

• Identifiants techniques Firebase (installation ID, user_id Firebase égal au uid).
• Événements de mesure produit : sign_in, sign_out, account_deleted, daily_entry_submitted, weekly_review_started, weekly_review_completed, onboarding_completed.
• Rapports de crash iOS : trace d'exécution, modèle d'appareil, version du système, horodatage.
• Attribution marketing agrégée post-installation (SKAdNetwork niveau 1).

2.5. Données de correspondance

• Contenu et métadonnées des courriers électroniques que vous nous adressez à support.echo@agylos.eu ou à privacy.echo@agylos.eu.

Echo ne collecte jamais : votre localisation, vos contacts, vos photos, vos données HealthKit, votre carnet d'adresses, l'identifiant publicitaire IDFA de votre appareil.

3. Finalités et bases légales

Chaque traitement de vos données repose sur une base légale précise au sens de l'article 6 du RGPD.

Les données 2.1 (identifiants, session), 2.2 (profil onboarding) et 2.3 (indicateurs et RDV) sont nécessaires à l'exécution du contrat de service — sans elles, Echo ne peut pas fonctionner. Les données 2.4 (analytics, crash, attribution, BigQuery) relèvent soit d'un consentement (Firebase Analytics, opt-in), soit d'un intérêt légitime auquel vous pouvez vous opposer directement in-app (voir §7). La préoccupation principale de bien-être (primaryConcern + primaryConcernRawText, T-14) est facultative — son absence ne vous empêche pas d'utiliser Echo, mais dégrade la personnalisation que le coach peut vous proposer.

Echo n'utilise vos données pour aucune finalité publicitaire, aucun profilage individuel, aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative (article 22 du RGPD). Le coach IA vous assiste mais ne prend aucune décision médicale, financière ou administrative à votre place.

4. Durées de conservation

Agylos ne conserve vos données que pendant la durée strictement nécessaire aux finalités poursuivies.

4.1. Données de compte et de profil

Vos données de compte, de profil et vos indicateurs sont conservés pendant toute la vie de votre compte. Ils sont effacés immédiatement dès que vous supprimez votre compte depuis l'application (bouton « Supprimer mon compte » dans la section Confidentialité du Profil).

Afin de respecter le principe de limitation de la conservation (Art. 5.1.e RGPD), Agylos applique en outre une politique de purge des comptes inactifs. Après 24 mois sans connexion, vous recevez un e-mail d'avertissement à l'adresse associée à votre compte vous invitant à vous reconnecter. Sans reconnexion dans les 12 mois qui suivent (soit 36 mois au total d'inactivité), votre compte est automatiquement supprimé, comme si vous aviez vous-même déclenché la suppression. La cascade d'effacement décrite en §4.2 à §4.7 s'applique alors à l'identique.

4.2. Contenu du rendez-vous hebdomadaire

Les messages du chat et les synthèses de rendez-vous sont conservés pendant toute la vie de votre compte, et effacés à sa suppression. La mémoire de traitement d'Anthropic n'excède pas la durée du cache technique (au plus quelques minutes) et Anthropic n'utilise pas vos messages pour entraîner ses modèles (option « zero-training »).

4.3. Mesures produit (Firebase Analytics)

Les données de Firebase Analytics sont conservées 14 mois, puis automatiquement purgées côté Google. À la suppression de votre compte, l'équipe support d'Agylos formule en outre une demande de suppression complète auprès de Google Firebase Analytics. La suppression côté Firebase Analytics est effectuée manuellement par l'équipe support dans un délai maximum de 30 jours à compter de la suppression de votre compte (SLA interne documenté en annexe D du registre des traitements).

4.4. Rapport d'audit de suppression de compte

Le rapport interne d'audit qu'Agylos produit lorsque vous supprimez votre compte contient uniquement votre identifiant technique Firebase (uid) et le statut technique des étapes de suppression (l'identité elle-même a déjà été supprimée). Il est conservé 3 ans glissants à des fins de démonstration de conformité (Art. 30 RGPD).

4.5. Instrumentation pseudonymisée du rendez-vous hebdomadaire

Les données de calibrage statistique du rendez-vous hebdomadaire (valeurs numériques d'indicateurs, sorties de préprocessing) sont stockées en Europe (Belgique, europe-west1) pour une durée maximale de 90 jours sous forme détaillée, puis conservées sous forme agrégée sans identifiant individuel. Votre identifiant utilisateur est remplacé par un code de hachage irréversible (SHA-256) avant toute écriture. Aucun texte libre de vos messages n'est stocké dans cette instrumentation.

4.6. Crashlytics

Les rapports de crash sont conservés 90 jours par défaut côté Firebase Crashlytics.

4.7. Correspondance support et demandes RGPD

Les courriers électroniques échangés avec le support et les preuves de traitement des demandes RGPD sont conservés 3 ans après la clôture du dossier, à des fins de traçabilité et de démonstration de conformité.

4.8. Préoccupation principale de bien-être (primaryConcern)

Votre préoccupation principale de bien-être — votre message tel que vous l'avez écrit (dans la limite de 1 000 caractères) ainsi que la catégorisation de ce message parmi les sept thèmes stress, anxiété, sommeil, dépression, burnout, relations, autre — est conservée pendant toute la vie de votre compte, avec la même politique de purge des comptes inactifs que celle décrite au §4.1. Elle peut être effacée indépendamment, sans supprimer votre compte, si vous retirez à tout moment votre consentement au titre de l'article 7.3 du RGPD, depuis la section Confidentialité de votre profil (voir §7 et §8). Le retrait supprime alors, dans une même opération atomique, trois éléments à la fois : votre message tel qu'écrit, sa catégorisation, et la trace de votre consentement au traitement de cette donnée de santé. Si vous souhaitez ultérieurement re-confier une préoccupation à Echo, vous serez invité·e à redonner votre consentement (recocher la case « Données de santé ») puis à réécrire votre message : nous ne conservons rien qui vous exempterait de ce nouveau consentement. L'effacement est immédiat côté Echo ; le coach cesse d'utiliser cette information à votre prochaine session. Vos autres consentements (CGU et Politique de confidentialité) ne sont pas affectés par cette action.

4.9. Adresse email de récupération et envoi du lien de vérification

Lorsque vous saisissez une adresse email de récupération dans votre profil, Agylos vous envoie un lien de vérification à usage unique via son partenaire Sinch (Mailgun EU), basé à Frankfurt (Allemagne). Les données transitent et sont conservées dans l'Union européenne — aucun transfert hors UE. Le lien expire au bout de 24 heures ; passé ce délai, il n'est plus utilisable et un nouveau lien doit être demandé depuis la section Profil.

Côté Agylos, le lien de vérification est stocké sous forme d'un hachage irréversible (SHA-256) ; la valeur en clair transite uniquement dans l'email envoyé. Le lien est effacé dès qu'il est consommé (premier clic) ou lorsque vous retirez votre adresse email de récupération depuis la section Profil, ou lorsque vous supprimez votre compte. Chez Mailgun, les logs techniques d'envoi sont conservés pendant 3 jours au maximum (politique par défaut Mailgun EU) et ne contiennent aucun contenu applicatif au-delà de votre adresse et des métadonnées d'envoi.

Base légale : consentement explicite (Art. 6.1.a RGPD), voir §3. Le retrait de votre adresse email de récupération depuis la section Profil vaut retrait du consentement (Art. 7.3 RGPD) — la trace associée est immédiatement effacée côté Agylos.

5. Destinataires et sous-traitants

Agylos ne vend, ne loue et ne cède vos données à aucun tiers.

Vos données sont accessibles :

• En interne : à l'équipe produit, à l'équipe support et à l'équipe data d'Agylos, chacune dans la stricte limite de ce qui est nécessaire à ses missions.
• À des sous-traitants agissant sur instruction d'Agylos, dans le cadre d'accords de traitement de données (Data Processing Agreements, DPA) au sens de l'article 28 du RGPD :

Responsables indépendants avec lesquels vos données sont partagées pour leurs propres finalités. Certaines opérations techniques mettent en jeu Apple Inc., qui agit alors en responsable de traitement indépendant — Apple définit ses propres finalités (identification Apple ID, mesure d'audience SKAdNetwork), applique ses propres CGU utilisateur, ne traite pas ces données sur instruction d'Agylos et n'admet pas d'accord Art. 26 de co-responsabilité. Les traitements concernés sont :

• Sign in with Apple — fourniture de l'identifiant apple_sub, relais e-mail « Hide My Email », authentification côté Apple ;
• SKAdNetwork — attribution marketing agrégée niveau 1 côté Apple.

Aucune instruction Agylos possible sur ces traitements Apple. Pour les modalités d'exercice de vos droits vis-à-vis d'Apple, se référer à la politique de confidentialité d'Apple : apple.com/fr/legal/privacy.

6. Transferts hors Union européenne

Les données stockées dans Firestore et BigQuery le sont au repos dans l'Union européenne, en région europe-west1 (Belgique).

Certains traitements font toutefois intervenir des composantes techniques situées aux États-Unis :

• Firebase Authentication, Firebase Analytics, Firebase Crashlytics, Firebase App Attribution et Firebase Hosting peuvent traiter ponctuellement des données depuis les États-Unis.
• Anthropic (Claude) traite vos messages du rendez-vous hebdomadaire depuis les États-Unis.

Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (Décision d'exécution 2021/914), intégrées aux DPA de Google Cloud et d'Anthropic mentionnés en §5. Ils sont donc licites au sens du chapitre V du RGPD (article 46).

Agylos ne procède à aucun autre transfert hors Union européenne.

7. Vos droits

Conformément au chapitre III du RGPD, vous disposez sur vos données personnelles des droits suivants :

• Droit d'accès (Art. 15) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification (Art. 16) : faire corriger des données inexactes ou incomplètes. Votre prénom et votre date de naissance sont directement modifiables depuis la section Confidentialité de votre profil dans l'application.
• Droit à l'effacement (Art. 17), dit droit à l'oubli : obtenir la suppression de vos données. Vous pouvez déclencher cette suppression à tout moment, par vous-même, via le bouton « Supprimer mon compte » dans la section Confidentialité de votre profil. La suppression est immédiate côté Echo et déclenche la purge en cascade de toutes vos données.
• Droit de retirer votre consentement (Art. 7.3 RGPD) au traitement de votre préoccupation principale de bien-être (primaryConcern et primaryConcernRawText, base Art. 9.2.a — voir §3). Vous exercez ce droit directement depuis l'application, via la section Confidentialité de votre profil : le retrait est immédiat côté Echo. Il supprime dans une même opération atomique trois éléments à la fois : votre message tel qu'il a été écrit, sa catégorisation générale et la trace de votre consentement — jamais l'un sans les autres. Le coach cesse d'utiliser cette information à votre prochaine session, sans que votre compte soit supprimé. Si vous souhaitez re-confier une préoccupation ultérieurement, il vous sera demandé de redonner votre consentement (recocher la case « Données de santé ») puis de réécrire votre message. Le retrait est aussi simple à exercer que le consentement lui-même, et ne touche pas à vos autres consentements (CGU notamment).
• Droit de retirer votre consentement à Firebase Analytics (Art. 7.3 RGPD ; base Art. 6.1.a — voir §3). Ce consentement vous est demandé pendant l'inscription, par un choix explicite entre accepter et refuser ; aucune collecte n'a lieu tant que vous ne l'avez pas donné, et un refus n'a aucune conséquence sur votre utilisation d'Echo. Vous pouvez revenir sur votre choix à tout moment, dans un sens comme dans l'autre, via le toggle « Analyse d'usage » de la section Confidentialité et données de vos Paramètres avancés. Le retrait est aussi simple à exercer que l'octroi.
• Droit d'opposition (Art. 21) au traitement de vos données fondé sur l'intérêt légitime d'Agylos (Art. 6.1.f RGPD). L'opposition s'exerce directement in-app via les toggles dédiés de la section Confidentialité de votre profil :
  • Rapports de crash (Firebase Crashlytics, T-07) ;
  • Attribution marketing (Firebase App Attribution / SKAdNetwork niveau 1, T-08) ;
  • Amélioration des algorithmes du RDV hebdomadaire (instrumentation pseudonymisée BigQuery, T-09).
  Chaque toggle coupe immédiatement sur votre appareil le SDK ou le flux concerné. Pour les demandes rétrospectives (purge des données déjà collectées), vous pouvez également écrire à privacy.echo@agylos.eu en précisant l'adresse électronique associée à votre compte Echo ; Agylos prend en charge votre demande dans le délai Art. 12.3 (un mois maximum) via ses scripts RGPD internes (erase_user_data.py, journalisation rgpd-audit.log).
• Droit à la limitation (Art. 18) : demander la suspension du traitement de vos données dans les cas prévus par le RGPD.
• Droit à la portabilité (Art. 20) : récupérer vos données dans un format structuré, couramment utilisé et lisible par machine. Vous exercez ce droit directement depuis l'application via le bouton « Télécharger mes données » dans la section Confidentialité de votre profil. Le fichier est fourni au format JSON et remis via le menu de partage iOS (Fichiers, Mail, iCloud Drive, AirDrop, etc., au choix).
• Droit d'introduire une réclamation auprès d'une autorité de contrôle compétente — voir §7.1 (utilisateurs canadiens) ou §7.2 (utilisateurs de l'Union européenne).

Vous disposez également du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

7.1. Droits complémentaires pour les résidents canadiens

Si vous résidez au Canada, le traitement de vos données personnelles par Agylos dans le cadre d'Echo est également couvert par la législation canadienne en matière de vie privée.

PIPEDA (fédéral). En vertu de la Loi sur la protection des renseignements personnels et les documents électroniques, vous disposez notamment :

• du droit d'être informé de l'existence, de l'utilisation et de la communication de vos renseignements personnels ;
• d'un droit d'accès à vos renseignements personnels et d'un droit de demander leur rectification ;
• du droit de retirer votre consentement, sous réserve de restrictions légales et contractuelles et d'un préavis raisonnable.

Vous pouvez introduire une plainte auprès du Commissariat à la protection de la vie privée du Canada — priv.gc.ca.

Loi 25 (Québec). Si vous résidez au Québec, vous bénéficiez également des protections supplémentaires de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25), qui renforce les obligations de transparence, d'information et de consentement, et prévoit un droit à la désindexation et un droit à la portabilité des données.

Vous pouvez introduire une plainte auprès de la Commission d'accès à l'information du Québec (CAI) — cai.gouv.qc.ca.

Une version anglaise de la présente politique est disponible à la version anglaise de cette politique.

7.2. Droits des utilisateurs de l'Union européenne

Vous pouvez introduire une réclamation auprès de l'autorité de contrôle de votre État membre de résidence, de votre lieu de travail ou du lieu de la violation présumée (Art. 77 RGPD), ou auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France — cnil.fr.

8. Comment exercer vos droits

La plupart des droits ci-dessus s'exercent directement depuis l'application :

• Consulter et modifier vos données de profil : Profil → Paramètres avancés → Confidentialité et données.
• Télécharger vos données (droit à la portabilité) : Profil → Paramètres avancés → Confidentialité et données → « Télécharger mes données ». Le fichier JSON est généré à la demande et remis via le menu de partage iOS.
• Supprimer votre compte : Profil → Paramètres avancés → Confidentialité et données → « Supprimer mon compte ».
• Vous opposer à la mesure produit : Profil → Paramètres avancés → Confidentialité et données → toggle « Analyse d'usage ».

Pour toute demande qui ne serait pas couverte par ces contrôles in-app (par exemple, une demande d'accès complète ou l'exercice du droit à la limitation), écrivez à privacy.echo@agylos.eu en précisant l'adresse électronique associée à votre compte Echo.

Agylos répond à votre demande dans un délai d'un mois à compter de sa réception (Art. 12.3 RGPD). Ce délai peut être prolongé de deux mois en cas de demande particulièrement complexe ; le cas échéant, Agylos vous en informe dans le premier mois.

Agylos peut être amené à vous demander une preuve raisonnable d'identité (par exemple, la confirmation de l'adresse électronique associée à votre compte) avant de donner suite à votre demande, afin de vous protéger contre des demandes frauduleuses.

9. Cookies, traceurs et technologies équivalentes

Echo est une application mobile iOS ; elle n'utilise pas de cookies HTTP.

Elle intègre les technologies suivantes :

• Firebase Analytics enregistre sept événements de mesure produit ainsi que deux propriétés utilisateur (pays, langue) et votre identifiant Firebase interne (uid). Cette mesure ne constitue pas du tracking au sens de la politique App Tracking Transparency (ATT) d'Apple : Echo ne sollicite aucun identifiant publicitaire (IDFA), n'affiche pas de fenêtre ATT, ne partage pas vos données avec des applications ou des sites tiers et n'utilise aucun réseau publicitaire tiers. L'attribut de manifeste NSPrivacyTracking est fixé à false.
• Firebase Crashlytics collecte des rapports de crash techniques sans identifiant publicitaire.
• Firebase App Attribution utilise le mécanisme SKAdNetwork de niveau 1 d'Apple pour attribuer, de manière agrégée et différée, une installation à sa campagne d'origine. Ce mécanisme est agrégé côté Apple et ne permet aucun rapprochement individuel.

Vous pouvez à tout moment vous opposer au traitement Firebase Analytics via la section Confidentialité de votre profil (voir §7).

10. Évolutions futures

Echo pourra à l'avenir intégrer des données issues de connecteurs externes — informations météorologiques, position géographique, données de santé provenant d'HealthKit (iOS) ou de Health Connect (Android) — afin d'enrichir les fonctionnalités d'accompagnement.

Ces catégories de données ne sont pas collectées à ce jour. Aucune activation ne sera opérée sans votre consentement explicite préalable, recueilli directement dans l'application au moment où la fonctionnalité concernée sera proposée. La présente politique sera mise à jour en amont de toute activation, et vous en serez informé selon les modalités décrites au §11.

11. Mise à jour de la présente politique

Agylos peut modifier la présente politique de confidentialité, par exemple pour refléter une évolution du service, un changement de sous-traitant, ou une évolution réglementaire.

La date de dernière mise à jour figurant en tête de document est toujours actuelle. En cas d'évolution substantielle, Agylos vous en informe par une notification dans l'application et, le cas échéant, par courrier électronique à l'adresse associée à votre compte.

La version en vigueur est publiée à l'adresse echo.agylos.eu/privacy-policy.