Politique de confidentialité

La présente politique explique quelles données traitent l'application Depression et son site, pourquoi, sur quelle base, avec qui et pendant combien de temps, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Parce que l'application parle de santé mentale, nous l'avons conçue pour que vos informations les plus personnelles ne quittent pas votre téléphone, et nous décrivons ci-dessous, sans rien omettre, ce qui en sort.

1. Responsable du traitement

BAUGEY MATHEO, entrepreneur individuel exerçant sous le nom commercial DEVOLIM
248 rue de Bègles, 33800 Bordeaux, France
SIREN : 948 000 757
Courriel : contact.depression@devolim.fr

L'éditeur n'a pas désigné de délégué à la protection des données : toute question ou demande relative à vos données est traitée directement par lui, à l'adresse ci-dessus.

2. Nos principes

• Aucun compte à créer : ni nom, ni adresse e-mail, ni numéro de téléphone, ni mot de passe ne vous sont demandés.
• Ce que vous écrivez et notez reste chiffré sur votre téléphone.
• Aucune publicité, aucun suivi publicitaire, aucun identifiant publicitaire, aucune géolocalisation.
• Aucune donnée vendue, louée, échangée ou cédée, à qui que ce soit.
• L'intelligence artificielle n'est utilisée qu'avec votre accord explicite ; vos messages ne sont jamais enregistrés sur nos serveurs ni utilisés pour entraîner une IA.
• Les statistiques d'usage sont coupées par défaut et ne contiennent jamais vos humeurs, vos scores, vos textes, vos traitements ni vos contacts.
• Nous collectons le moins possible, et les données conservées sur nos serveurs ont une durée limitée, à l'exception de l'identifiant technique, qui ne contient rien sur vous.

3. Ce qui reste sur votre téléphone

Les informations suivantes sont enregistrées uniquement sur votre téléphone, dans un coffre chiffré (chiffrement AES-256-GCM, dont la clé est gardée dans le trousseau sécurisé du système) :

• votre prénom ou surnom, si vous en donnez un, et votre réponse à la question « Où en es-tu en ce moment ? » ;
• vos humeurs, émotions, sommeil, énergie et notes associées ;
• vos réponses et scores au questionnaire PHQ-9 ;
• votre journal de gratitude, les pensées que vous examinez, votre kit des jours gris ;
• votre progression, vos activités et vos réponses dans le parcours et les exercices ;
• votre plan de sécurité, vos contacts de confiance (nom et numéro) et votre modèle de SMS ;
• vos traitements, leurs horaires et vos prises ;
• vos conversations avec Kolo, conservées 30 jours après le dernier message de chaque conversation, puis retirées automatiquement ;
• la version et la date de votre acceptation de l'avertissement santé et des conditions, et la date de votre accord à Kolo.

Quelques réglages sans contenu personnel sont gardés hors du coffre, dans les préférences de l'application (apparence, sons, langue, heure du rappel d'humeur, verrou activé ou non, choix concernant les statistiques). Le code du verrou n'est jamais enregistré en clair : seule une empreinte (PBKDF2) est gardée dans le trousseau.

Nous n'avons pas accès à ces informations et ne pouvons pas les récupérer. Elles sont supprimées lorsque vous touchez « Tout effacer » (Réglages, Confidentialité) ou que vous désinstallez l'application.

Sauvegardes. Sur Android, la sauvegarde dans le cloud et le transfert vers un autre téléphone sont désactivés pour l'application. Sur iPhone, les fichiers chiffrés du coffre peuvent figurer dans les sauvegardes iCloud ou sur ordinateur ; ils restent illisibles sans leur clé, qui ne suit qu'une sauvegarde chiffrée ou un transfert direct vers un nouvel iPhone.

Export. Vous pouvez exporter vos données (fichier lisible au format JSON) ou partager vos résultats au questionnaire au format PDF, par exemple avec votre médecin : c'est vous qui choisissez le destinataire, par le menu de partage de votre téléphone. Le fichier n'est pas chiffré : gardez-le en lieu sûr. Une fois partagé, il sort de notre contrôle ; les fichiers temporaires créés par l'application sont ensuite supprimés du téléphone. Vous pouvez aussi partager votre plan de sécurité sous forme de texte.

Notifications. Les rappels sont des notifications locales, programmées sur le téléphone lui-même, sans serveur d'envoi. Par défaut, un rappel de traitement affiche seulement « C'est l'heure de ton rappel » ; le nom du traitement n'apparaît sur l'écran verrouillé que si vous activez cette option.

4. Ce qui quitte votre téléphone

4.1 Dès le premier lancement

Pour que l'application fonctionne et reste sûre, trois échanges techniques ont lieu dès le premier lancement, avant même que vous utilisiez Kolo, et ne contiennent aucune information sur votre santé :

• Identifiant anonyme : l'application crée un identifiant technique aléatoire (connexion anonyme Firebase Authentication). Il ne contient ni votre nom, ni votre adresse e-mail, ni votre numéro ; nous l'appelons « anonyme » pour cette raison, mais au sens du RGPD il s'agit d'une donnée pseudonyme, puisqu'elle est propre à votre installation. Il sert à appliquer les limites d'usage de Kolo, à rattacher votre abonnement et à effacer vos données sur nos serveurs quand vous le demandez.
• Protection du service : chaque requête vers nos serveurs porte une attestation de Firebase App Check (App Attest et DeviceCheck d'Apple, Play Integrity de Google) prouvant qu'elle vient de l'application authentique. Cette attestation ne contient aucun contenu et n'est pas conservée par nous.
• État de l'abonnement : l'application demande à RevenueCat, avec votre identifiant anonyme, si un abonnement est actif.

Les rapports de plantage (point 4.6) sont également actifs dès le premier lancement.

4.2 Messages à Kolo, seulement avec votre accord

Kolo ne fonctionne qu'après votre accord explicite, donné sur un écran dédié qui explique ce qui suit. Quand vous écrivez à Kolo, l'application envoie, de façon chiffrée, à notre fonction serveur (Google Cloud Functions, région europe-west1, en Belgique) :

• votre message ;
• les derniers messages de la conversation en cours, pour que la réponse ait du sens ;
• la langue de l'application et le code du pays réglé sur votre téléphone (pour choisir les bons numéros d'aide) ;
• votre identifiant anonyme et l'attestation App Check.

Le serveur recherche d'abord des signes de crise, vérifie vos limites d'usage et votre abonnement, puis transmet à OpenAI, qui rédige la réponse : votre message, le contexte de la conversation, la langue, une indication « France ou autre pays » (pas le code de votre pays) et un identifiant pseudonyme, obtenu par hachage de votre identifiant anonyme, qui sert à OpenAI à repérer les abus. Le message et la réponse sont aussi vérifiés par le service de modération d'OpenAI, pour écarter les contenus dangereux. Si un signe de crise est repéré, le serveur répond lui-même par un message fixe avec les numéros d'aide, sans appeler le modèle.

• Nous n'enregistrons aucun message : ni dans notre base de données, ni dans nos journaux techniques.
• OpenAI traite ces données pour notre compte, avec une résidence des données en Europe. Elles ne sont pas utilisées pour entraîner ses modèles ; elles peuvent être conservées jusqu'à 30 jours pour la détection des abus, puis supprimées.
• Vous pouvez retirer votre accord à tout moment, dans Kolo (Mes conversations) ou dans Réglages, Confidentialité. Sans accord, rien n'est envoyé à Kolo ; les autres fonctions de l'application restent disponibles.
• N'écrivez à Kolo ni votre nom, ni votre adresse, ni des informations qui permettraient de vous identifier ou d'identifier un proche.

4.3 Compteurs et état de l'abonnement sur nos serveurs

Sur nos serveurs (base de données Google Cloud Firestore, en Europe), aucun texte n'est enregistré. Sont liés à votre identifiant anonyme :

• les compteurs de messages envoyés à Kolo (dans la journée et à la minute), qui appliquent les limites d'usage ;
• lorsqu'un de vos messages a évoqué une crise, l'heure de fin d'une période de deux heures pendant laquelle vos messages ne sont pas décomptés de la limite du jour, pour ne pas vous en priver à ce moment-là (des protections techniques contre les abus restent appliquées). Cette information révèle qu'un message a évoqué une détresse : nous la traitons comme une donnée de santé, dans le cadre de votre accord à Kolo. Elle est effacée dès votre premier message après la fin de cette période, et au plus tard avec le reste des compteurs ;
• l'état de votre abonnement (actif ou non, date de fin), enregistré pour ne pas le redemander à RevenueCat à chaque message et revérifié régulièrement.

Les journaux techniques du serveur indiquent le type d'événement (réponse envoyée, réponse de crise, erreur), sans votre identifiant ni le contenu des messages. Comme pour tout service en ligne, les journaux de requêtes de Google Cloud enregistrent aussi l'adresse IP et le type d'appareil à l'origine de chaque appel.

4.4 Suggestions, bugs et signalements

Si vous nous écrivez depuis l'application (suggestion ou bug), nous recevons : le texte que vous écrivez, une note de 1 à 5 si vous en donnez une, la catégorie, la version de l'application, le système du téléphone (iPhone ou Android), la langue et votre identifiant anonyme. Si vous signalez une réponse de Kolo (appui long sur la réponse), nous recevons la réponse signalée, l'outil éventuellement proposé et la raison choisie, jamais vos propres messages ; la réponse signalée peut toutefois reprendre ce que vous aviez confié, et nous la traitons alors comme une donnée de santé. La fenêtre de signalement vous le précise et vous demande votre accord avant l'envoi (« Accepter et envoyer »). Ces envois ne contiennent ni votre nom ni votre adresse e-mail : nous ne pouvons pas y répondre. N'y écrivez pas d'informations sur votre santé.

4.5 Statistiques d'usage, seulement si vous l'acceptez

L'usage d'une application consacrée à la dépression peut être en lui-même une information sensible. C'est pourquoi les statistiques sont coupées par défaut, y compris au tout premier lancement, et ne sont activées que si vous l'acceptez (interrupteur « Statistiques d'usage sans contenu », proposé avec l'avertissement santé et dans Réglages, Confidentialité).

Si vous les activez, Google Analytics pour Firebase reçoit, avec un identifiant d'instance pseudonyme : les écrans affichés (désignés par un nom générique) ; les fonctions utilisées, sans leur contenu (par exemple : une humeur notée, un questionnaire commencé ou terminé, un exercice lancé, une séance du parcours terminée, un achat commencé) ; si un abonnement est actif ou non ; et les informations que Google Analytics collecte automatiquement (modèle et système du téléphone, langue, pays approximatif, sessions, première ouverture). Ne sont jamais envoyés : votre niveau d'humeur, vos réponses ou scores, vos textes, le nom de vos traitements ou de vos contacts, le contenu de vos messages. Même avec votre accord, rien n'est envoyé sur l'aide, les lignes d'écoute, une crise, vos contacts de confiance, votre plan de sécurité ou vos traitements : ces écrans et ces actions sont exclus des statistiques, comme les exercices de crise. La publicité est toujours refusée dans les réglages de consentement de Google Analytics, et l'identifiant publicitaire n'est pas collecté. Désactiver les statistiques arrête la collecte et efface l'identifiant d'instance.

4.6 Rapports de plantage

Quand l'application plante ou rencontre une erreur, Firebase Crashlytics reçoit un rapport technique : trace de l'erreur, modèle de téléphone, version du système et de l'application, abonnement actif ou non, et un identifiant d'installation propre à Crashlytics. Ces rapports ne sont reliés à aucun autre identifiant et ne contiennent pas, par conception, vos textes, humeurs, scores, traitements ni contacts.

4.7 Achats

Les paiements sont encaissés par Apple (App Store) ou Google (Google Play) : nous ne voyons ni votre identité, ni vos coordonnées bancaires. RevenueCat, notre prestataire de gestion des abonnements, reçoit votre identifiant anonyme et, lors d'un achat ou d'une restauration, les informations de transaction transmises par le store (produit, dates, pays et devise du store, reçu), afin d'ouvrir et de vérifier votre accès Premium.

4.8 Messages au support

Si vous nous écrivez par e-mail, nous utilisons votre adresse et votre message uniquement pour vous répondre. Ne nous envoyez par e-mail que les informations de santé strictement nécessaires à votre demande.

4.9 Appels, SMS et liens

Quand vous appelez une ligne d'aide ou un contact de confiance depuis l'application, l'appel ou le SMS est préparé puis passé par votre téléphone lui-même, à votre initiative. L'application ne nous transmet pas ces numéros et ne prévient personne. Les liens vers des sites extérieurs (lignes d'aide, services publics, findahelpline.com, ce site) s'ouvrent dans votre navigateur, sous la responsabilité de ces sites.

5. Données de santé

Vos humeurs, vos réponses au questionnaire, vos traitements et ce que vous confiez dans l'application sont des données de santé, protégées par l'article 9 du RGPD. Notre choix est de ne pas les recevoir : elles restent chiffrées sur votre téléphone, sous votre seul contrôle. Les exceptions sont limitées et décrites ci-dessus :

• les messages que vous choisissez d'envoyer à Kolo, et l'éventuelle période de crise qui en découle, traités sur la base de votre consentement explicite (article 9.2.a du RGPD), retirable à tout moment, sans enregistrement des messages sur nos serveurs ;
• les signalements de réponses de Kolo, envoyés avec votre consentement explicite recueilli dans la fenêtre de signalement, et les suggestions si vous y écrivez malgré tout des informations de santé.

Les statistiques, les rapports de plantage et les compteurs de messages ne contiennent pas le contenu de ce que vous faites dans l'application. Notre architecture vise à ne pas héberger de données de santé : nos serveurs n'en conservent pas, en dehors de l'indicateur de période de crise et des signalements décrits ci-dessus, qui s'effacent à leur échéance.

6. Finalités et bases légales

7. Destinataires et sous-traitants

Vos données ne sont accessibles qu'à l'éditeur et aux prestataires ci-dessous, qui agissent pour son compte en qualité de sous-traitants (article 28 du RGPD), à l'exception d'Apple et de Google pour la vente, qui agissent sous leur propre responsabilité.

Chacun de ces prestataires est tenu contractuellement d'assurer la confidentialité et la sécurité des données. Aucune donnée n'est vendue, louée ou cédée à des tiers. Nous ne communiquerions des données à une autorité que sur demande légalement fondée.

8. Transferts hors Union européenne

Nos fonctions serveur et notre base de données sont situées dans l'Union européenne, et les réponses de Kolo sont traitées par OpenAI avec une résidence des données en Europe. Certaines données peuvent néanmoins être traitées hors de l'Union européenne, notamment aux États-Unis, par nos prestataires ou leurs sociétés affiliées : RevenueCat, OpenAI pour les opérations que ses sociétés affiliées réalisent hors de la résidence européenne, Google pour ses services mondiaux (connexion anonyme, App Check, Crashlytics, Analytics), et Cloudflare pour la diffusion du site. Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le destinataire y adhère, et sinon par les clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire de mesures supplémentaires.

9. Durées de conservation

Les effacements automatiques sur nos serveurs sont réalisés par Google à l'échéance prévue, généralement dans les jours qui suivent.

10. Ce que nous ne faisons pas

• Pas de publicité, ni dans l'application, ni sur le site.
• Pas de suivi publicitaire : l'identifiant publicitaire n'est pas collecté, et l'application ne vous demande pas l'autorisation de suivi d'Apple (App Tracking Transparency), dont elle n'a pas besoin.
• Pas de géolocalisation : seuls le fuseau horaire et la région réglés sur votre téléphone servent, pour animer le ciel de l'application et choisir les numéros d'aide de votre pays.
• Pas d'accès à votre carnet d'adresses : un contact de confiance se choisit avec le sélecteur du système, qui ne transmet à l'application que le nom et le numéro choisis.
• Pas d'accès à l'appareil photo, au micro, aux photos, ni aux données Santé d'Apple ou Health Connect.
• Pas de vente, de location ou d'échange de données, pas de courtier en données.
• Pas d'entraînement d'une intelligence artificielle avec vos messages.
• Pas de profilage, ni de partage avec un employeur, un assureur ou une banque.

11. Traitements automatisés et intelligence artificielle

Kolo est une intelligence artificielle : ses réponses sont produites automatiquement. L'application et le serveur repèrent aussi automatiquement certains mots de détresse, pour afficher les numéros d'aide et éviter qu'une personne en crise soit privée de réponse par la limite du jour. Ces traitements ne prennent aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative au sens de l'article 22 du RGPD : ils ne préviennent personne et ne transmettent votre situation à personne.

12. Autorisations du téléphone

• Notifications : demandées seulement quand vous programmez un rappel (humeur, parcours, traitements).
• Face ID ou empreinte : pour le verrou, si vous l'activez. La reconnaissance est faite par le système ; l'application ne reçoit ni votre visage ni votre empreinte.
• Alarmes exactes et redémarrage (Android) : pour que les rappels de traitement arrivent à l'heure et soient reprogrammés après un redémarrage.
• Internet : pour Kolo, les messages à l'équipe, les achats, les rapports de plantage et, si vous les acceptez, les statistiques.

Vous pouvez retirer ces autorisations à tout moment dans les réglages de votre téléphone.

13. Sécurité

• Vos contenus sont chiffrés sur le téléphone (AES-256-GCM, par les fonctions de chiffrement du système), et la clé est gardée dans le trousseau sécurisé du système.
• Verrou facultatif par code ou biométrie, avec des temps d'attente croissants après plusieurs erreurs ; le contenu de l'application est masqué dans le sélecteur d'applications.
• Tous les échanges avec nos serveurs sont chiffrés (HTTPS).
• Nos serveurs n'acceptent que les requêtes de l'application authentique (App Check) ; la base de données est fermée à toute lecture ou écriture depuis l'application ; les clés secrètes restent sur le serveur ; les réponses de Kolo sont signées, pour qu'un téléphone modifié ne puisse pas lui faire dire autre chose que ce qu'il a dit ; des limites d'usage protègent le service.
• Les données conservées sur nos serveurs s'effacent automatiquement à l'échéance prévue.
• L'accès aux outils d'administration est réservé à l'éditeur.

Le verrou protège l'accès à l'application ; il ne remplace pas le code de déverrouillage de votre téléphone. Aucun système n'est invulnérable : protégez votre téléphone et gardez son système à jour.

14. Vos choix et vos droits

Vous disposez à tout moment, dans l'application :

• d'un interrupteur pour accepter ou refuser les statistiques d'usage (Réglages, Confidentialité) ;
• du retrait de votre accord à Kolo (dans Kolo, Mes conversations, ou dans Réglages, Confidentialité) ;
• de l'effacement de vos conversations avec Kolo ;
• d'un export de vos données (Réglages, Confidentialité) ;
• de la fonction « Tout effacer » (Réglages, Confidentialité). Elle supprime vos contenus du téléphone et, si votre téléphone est connecté à internet, vos compteurs, votre période de crise éventuelle, l'état de votre abonnement et vos suggestions et signalements sur nos serveurs ; elle efface aussi l'identifiant de statistiques. Restent, sans aucun contenu : l'identifiant anonyme lui-même, les informations d'abonnement chez RevenueCat et chez Apple ou Google, le compteur technique des demandes d'effacement, ainsi que les journaux, rapports et statistiques déjà transmis et ce qu'OpenAI peut conserver, qui s'effacent à leur échéance (section 9). Sans connexion, l'effacement sur nos serveurs est relancé automatiquement à chaque ouverture de l'application, jusqu'à ce qu'il réussisse. L'identifiant anonyme est volontairement conservé : c'est lui qui permet à votre abonnement de rester actif.

Conformément aux articles 15 à 22 du RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, du droit de retirer votre consentement à tout moment sans que cela remette en cause les traitements déjà effectués, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés). Ces droits s'exercent par courriel à contact.depression@devolim.fr. Il est répondu dans un délai d'un mois, qui peut être prolongé de deux mois en cas de demande complexe.

Comme nous ne connaissons pas votre identité, nous ne pouvons pas retrouver par votre nom ou votre adresse e-mail les données liées à votre identifiant anonyme : les outils de l'application ci-dessus sont le moyen le plus sûr et le plus rapide d'exercer vos droits. Nous ne vous demanderons jamais d'informations de santé pour traiter une demande. Vous pouvez vous opposer aux rapports de plantage en nous écrivant ; comme ils ne sont reliés à aucune information sur vous, nous ne pouvons pas retrouver ceux qui vous concernent, et la désinstallation de l'application reste aujourd'hui le moyen certain d'en arrêter l'envoi. Les informations d'achat se gèrent aussi auprès d'Apple ou de Google.

15. Données concernant vos proches

Les contacts de confiance que vous enregistrez (nom et numéro) restent sur votre téléphone et ne nous sont jamais transmis. Vérifiez que ces personnes acceptent d'y figurer et d'être contactées par vous. Évitez de citer des tiers identifiables dans vos messages à Kolo et dans vos envois à l'équipe.

16. Site web

Ce site ne dépose aucun cookie et n'utilise aucun outil de mesure d'audience. Les polices de caractères sont hébergées avec le site : votre navigateur ne contacte aucun service de polices, de publicité ou de mesure. Le site est hébergé par OVH et peut être diffusé à travers le réseau de Cloudflare, qui le protège contre les attaques et accélère son affichage ; ces prestataires traitent, pour ces seules finalités, les données techniques de votre visite (adresse IP, pages demandées, date) pendant une durée limitée.

17. Âge minimum

L'application est réservée aux personnes de 16 ans et plus, qui le déclarent avant d'accepter les conditions. Elle n'est pas destinée aux enfants et nous ne collectons pas sciemment de données les concernant. Si vous êtes parent ou tuteur et pensez qu'un enfant de moins de 16 ans l'utilise, écrivez-nous ; la fonction « Tout effacer » supprime aussi ses données du téléphone et de nos serveurs.

18. Incident de sécurité

En cas de violation de données personnelles, nous la notifions à la CNIL dans les conditions de l'article 33 du RGPD et, lorsqu'elle est susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons dans l'application ou sur ce site, conformément à l'article 34.

19. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.

20. Modifications

La présente politique peut être modifiée pour tenir compte d'évolutions légales ou techniques. La date de dernière mise à jour figure en tête de page ; les modifications substantielles sont signalées dans l'application et, si elles touchent à votre consentement, celui-ci vous est redemandé. En cas de divergence entre la version française et une traduction, la version française prévaut.