Politique de confidentialité.

01Qui est responsable ?

Le responsable du traitement de tes données personnelles est Victor Gassmann, entrepreneur individuel (auto-entrepreneur), qui exploite le service sous le nom commercial MindStep.

• Statut : entrepreneur individuel (EI), immatriculé au Registre National des Entreprises
• Numéro SIRET : [À COMPLÉTER — SIRET à 14 chiffres]
• Adresse : [À COMPLÉTER — adresse de l'entreprise]
• Contact pour toute question relative à tes données : contact@mind-step.fr

Aucun délégué à la protection des données (DPO) n'a été désigné — sa désignation n'est pas obligatoire pour cette activité. Toutes les demandes liées à tes données sont traitées directement par l'éditeur, à l'adresse contact@mind-step.fr.

02Ce qu'on collecte (et ce qu'on ne collecte pas)

Voici exactement les données qu'on traite, classées par catégorie :

03Finalités et bases légales

Chaque traitement repose sur une base légale claire au sens de l'article 6 (et de l'article 9 pour les données de santé) du RGPD :

• Créer et gérer ton compte, te donner accès aux marches et à ton plan personnalisé — exécution du contrat
• Gérer ton abonnement et l'essai gratuit — exécution du contrat et obligation légale (facturation)
• Enregistrer et afficher tes notes d'humeur — consentement explicite (donnée de santé, art. 9.2.a)
• Lire et écrire tes données Apple HealthKit — consentement explicite (autorisation iOS)
• T'envoyer des notifications et rappels — consentement (autorisation iOS)
• Utiliser ta localisation approximative pour la météo — consentement (autorisation iOS)
• Améliorer l'app via des statistiques d'usage et la détection de bugs — intérêt légitime ; tu peux t'y opposer
• Mesurer l'attribution publicitaire — consentement, uniquement si tu l'acceptes via l'écran ATT
• Répondre à tes demandes de support — exécution du contrat et intérêt légitime
• Respecter nos obligations comptables et légales — obligation légale

04Données obligatoires ou facultatives

Toutes les données ne sont pas indispensables pour utiliser MindStep :

• Strictement nécessaires — ton adresse email et ton identifiant de connexion. Sans elles, la création d'un compte est impossible.
• Facultatives — ton prénom, tes réponses d'onboarding, tes notes d'humeur, ta localisation, l'accès à HealthKit et les notifications. Tu peux refuser chacune d'elles.

Un refus n'entraîne aucune réduction de ton accès aux marches. Seules les fonctions concernées sont limitées : sans onboarding, ton plan est plus générique ; sans HealthKit, pas d'anneau d'activité ; sans notifications, pas de rappel quotidien.

05Profilage et personnalisation

L'onboarding te pose quelques questions (niveau de stress, qualité de sommeil, objectifs, rythme souhaité). Tes réponses servent à établir un profil de bien-être à partir duquel l'app génère automatiquement un plan de marches adapté.

• Ce profilage sert uniquement à personnaliser les recommandations de contenu à l'intérieur de l'app.
• Il ne donne lieu à aucune décision entièrement automatisée produisant des effets juridiques ou t'affectant de manière significative, au sens de l'article 22 du RGPD.
• Il n'est jamais utilisé pour de la publicité ciblée, ni transformé en score partagé avec des tiers.
• Tu peux modifier tes réponses à tout moment, ou demander l'effacement de ton profil (voir « Tes droits RGPD »).

06Qui a accès à tes données

Tes données sont accessibles uniquement à l'éditeur de MindStep (Victor Gassmann, en France), pour le support et le développement, et à nos sous-traitants techniques, strictement pour faire fonctionner le service :

Aucun de ces sous-traitants n'est autorisé à utiliser tes données à d'autres fins que celles décrites. Nous ne vendons, ne louons et ne partageons jamais tes données à des fins commerciales ou publicitaires de tiers.

07Transferts hors Union européenne

Tes données principales (compte, profil, notes d'humeur) sont hébergées dans l'Union européenne. Certains de nos sous-traitants sont toutefois situés en dehors de l'UE, principalement aux États-Unis : RevenueCat, Resend et Sentry — ainsi que PostHog si son hébergement y est configuré.

Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (art. 46 du RGPD) et, le cas échéant, par le Data Privacy Framework UE–États-Unis. Ils ne portent que sur des données limitées : identifiant technique d'abonnement, données techniques de diagnostic, adresses email d'envoi.

08App Tracking Transparency (ATT) iOS

À l'ouverture de l'app, iOS te demande si tu acceptes le suivi anonymisé. Voilà concrètement à quoi sert ton choix :

• Si tu acceptes — on peut associer (de façon anonymisée) le téléchargement de l'app à la campagne qui te l'a fait découvrir. Ça nous aide à investir dans ce qui marche et à garder l'app abordable.
• Si tu refuses — l'app fonctionne exactement pareil. Aucune fonctionnalité réduite, jamais.

Aucune donnée personnelle (ton nom, ton email, tes réponses) n'est partagée pour le tracking. Uniquement l'identifiant publicitaire anonyme géré par Apple, et seulement si tu y consens.

09Permissions iOS — usage exact

L'app peut te demander 3 permissions, toutes optionnelles :

• Notifications — pour t'envoyer ton rappel quotidien à l'heure choisie. Tu peux les couper depuis les Réglages iOS à tout moment.
• Localisation (« pendant l'utilisation ») — uniquement quand tu ouvres l'app, pour adapter la marche à la météo locale. Aucun tracking en arrière-plan. Position approximative (~5 km) suffisante, jamais de GPS précis.
• Apple Santé — lecture seule de tes pas pour les afficher dans MindStep, et écriture des marches effectuées dans ton anneau d'activité. Tu choisis ce que tu partages.

10Données de santé et Apple HealthKit

Deux types de données de santé sont concernés : tes notes d'humeur que tu saisis, et les données d'activité Apple HealthKit (nombre de pas).

Tes notes d'humeur sont considérées comme des données de santé sensibles au sens de l'article 9 du RGPD. À ce titre :

• Elles sont traitées sur la base de ton consentement explicite.
• Elles sont stockées chiffrées en base (AES-256), en plus du chiffrement de transport (TLS).
• Tu peux les supprimer individuellement depuis l'app, sans supprimer ton compte.

Avec ton autorisation, l'app lit ton nombre de pas dans Apple HealthKit pour l'afficher, et peut y écrire les marches effectuées. Les données HealthKit sont lues à la volée et ne sont pas copiées sur nos serveurs.

11Où c'est stocké

Tes données sont stockées par Supabase, dans un centre de données situé dans l'Union européenne (région de Francfort, Allemagne). Les marches audio sont diffusées via le réseau Bunny CDN.

Tes données principales ne sont pas transférées hors de l'Espace économique européen. Les seuls traitements hors UE concernent les sous-traitants listés à la section 07, encadrés par des garanties appropriées.

12Combien de temps on garde tes données

• Compte actif — toutes tes données, tant que tu utilises l'app
• Compte inactif > 12 mois — on t'envoie un email avant de supprimer ton compte
• Compte supprimé — toutes tes données effacées sous 30 jours (sauf obligations comptables)
• Notes d'humeur — supprimables individuellement à tout moment
• Données techniques et logs — 90 jours puis purgés automatiquement
• Statistiques d'usage — 24 mois maximum, sous forme agrégée
• Données de facturation — conservées 10 ans (obligation légale comptable ; la facturation est gérée par Apple)

13Comment on les protège

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées pour protéger tes données :

• Chiffrement de toutes les communications (TLS) et des données de santé en base (AES-256)
• Authentification liée à ton appareil, sans mot de passe réutilisable
• Accès aux données strictement limité à l'éditeur, et uniquement pour le support et la maintenance
• Hébergement chez des prestataires reconnus, sur des infrastructures certifiées (ISO 27001, SOC 2)
• Sauvegardes régulières et journalisation des accès

Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous en informerons la CNIL sous 72 heures et, si nécessaire, te préviendrons directement.

14Tes droits RGPD

Tu disposes de 7 droits exerçables à tout moment :

• Droit d'accès — savoir exactement ce qu'on a sur toi
• Droit de rectification — corriger une donnée inexacte
• Droit à l'effacement — supprimer ton compte et toutes les données associées
• Droit à la portabilité — récupérer tes données dans un format réutilisable (JSON)
• Droit d'opposition — refuser certains traitements (ex. statistiques d'usage, tracking)
• Droit à la limitation — geler temporairement un traitement le temps d'un litige
• Droit de retirer ton consentement — à tout moment, sans justification, pour les traitements fondés dessus

15Cookies, SDK et traceurs

Sur le site mind-step.fr — nous n'utilisons que des cookies strictement nécessaires au fonctionnement du site (session, préférences). Aucun cookie de publicité, de profilage ou de tracking tiers. La mesure d'audience éventuelle est réalisée sans cookie et sans identification individuelle. Nous n'utilisons pas Google Analytics.

Dans l'application — MindStep intègre des SDK tiers nécessaires à son fonctionnement : RevenueCat (abonnements), Sentry (détection de bugs) et PostHog (statistiques d'usage). Ces SDK ne déposent pas de cookie publicitaire. L'attribution publicitaire éventuelle dépend entièrement de ton choix sur l'écran App Tracking Transparency d'iOS (voir section 08) : si tu refuses, aucun identifiant publicitaire n'est utilisé.

16Mineurs

MindStep est réservé aux personnes âgées d'au moins 16 ans. En France, l'âge à partir duquel un mineur peut consentir seul au traitement de ses données est fixé à 15 ans ; en dessous, le consentement d'un titulaire de l'autorité parentale est requis.

MindStep n'étant pas destiné aux moins de 16 ans, nous ne collectons pas sciemment de données d'enfants de moins de 15 ans. Si tu apprends qu'un enfant de moins de 16 ans utilise MindStep, écris-nous à contact@mind-step.fr : nous supprimerons immédiatement le compte et les données associées.

17Évolution de cette politique

Cette politique peut évoluer, notamment si nous ajoutons une fonctionnalité ou changeons de sous-traitant. La date de dernière mise à jour figure en haut de cette page.

En cas de modification substantielle, nous t'en informerons par email et/ou par une notification dans l'app au moins 30 jours avant son entrée en vigueur. Tu pourras alors, si tu n'es pas d'accord, supprimer ton compte.

Les informations de cette politique correspondent à la fiche de confidentialité (« Privacy Nutrition Label ») déclarée sur l'App Store : les deux sont mises à jour ensemble.

18Nous contacter

Pour toute question relative à tes données personnelles ou pour exercer tes droits :

• Questions sur tes données et exercice de tes droits : contact@mind-step.fr
• Support général de l'app : support@mind-step.fr
• Courrier : Victor Gassmann — [À COMPLÉTER — adresse postale]

Tu as également le droit d'introduire une réclamation auprès de la CNIL, l'autorité française de protection des données : www.cnil.fr — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.