En vigueur tel que livré avec la version actuelle de l'application.
Ceci est le même texte que celui livré dans l'application Shoteo, où il est affiché avant la première utilisation. La copie embarquée dans l'application est celle contre laquelle le consentement est enregistré. La version anglaise de ces documents fait foi.
Shoteo garde tout ce que vous consignez sur votre propre téléphone. Il n'y a pas de compte, pas de serveur exploité par nous, et aucune copie de vos données de santé ailleurs que sur cet appareil. Vous pouvez tout en extraire à tout moment, et tout effacer à tout moment.
Cette politique couvre l'application Shoteo sur iOS et Android, ainsi que le site shoteo.codexo.at où elle est publiée. Rien de ce que vous faites dans l'application n'est relié au site, car l'application n'établit aucune connexion avec lui. La politique se lit de la même façon sur les deux plateformes — contrairement à la plupart des applications, il n'y a ni stockage propre à une plateforme ni service d'analyse à décrire, car il n'existe, sur aucune des deux, de stockage ou d'analyse en dehors de votre appareil.
L'application n'en a aucun. Elle n'embarque aucun service d'analyse, de publicité ou de traçage, et n'a aucun usage des cookies ; le seul serveur auquel elle parle est le service de mise à jour décrit sous « Ce qui quitte l'appareil », qui livre de nouvelles versions du code de l'application elle-même et ne transporte rien vous concernant. Le site ne dépose aucun cookie et ne stocke rien sur votre appareil ; il charge ses pages et ses polices depuis sa propre adresse. Il compte en revanche les visites, avec Umami, un outil de statistiques respectueux de la vie privée qui fonctionne sur un serveur exploité par le développeur à l'adresse analytics.codexo.at — pas un tiers ; les statistiques ne sont ni communiquées ni vendues à quiconque. Pour chaque page consultée, il enregistre la page, la page qui vous y a mené, votre navigateur, votre système d'exploitation, votre type d'appareil, la taille de votre écran et votre langue, ainsi que le pays, la région et la ville déduits de votre adresse IP. Il enregistre aussi quelques actions sur la page : les boutons sur lesquels vous cliquez (les boutons de store, « Get the app » et similaires), les questions que vous ouvrez, le téléphone que vous choisissez dans un guide, les sections que vous atteignez, jusqu'où vous faites défiler, et le site vers lequel un lien vous mène. Votre adresse IP elle-même n'est pas conservée. Les visites sont regroupées par un code calculé à partir de votre adresse IP et de votre navigateur, qui change chaque mois ; les statistiques peuvent donc distinguer une visite répétée d'une nouvelle au cours d'un même mois, mais ne peuvent ni vous identifier, ni vous suivre sur d'autres sites, ni relier vos visites d'un mois à l'autre. Rien de ce qui vient du site n'est relié à l'application ni à ce que vous y consignez. La base légale est notre intérêt légitime à savoir comment le site est trouvé et utilisé (article 6, paragraphe 1, point f, du RGPD). Vous pouvez vous y opposer à tout moment : activez le réglage « Do Not Track » de votre navigateur, que le site respecte en n'envoyant rien, ou bloquez analytics.codexo.at. Les statistiques sont conservées 24 mois au maximum. Son hébergeur voit nécessairement ce que tout serveur web voit pour livrer une page, comme votre adresse IP dans ses journaux techniques ; nous n'y ajoutons rien et n'en recevons rien.
Trois sources, toutes déclenchées par vous : ce que vous saisissez dans le journal ; les fichiers CSV que vous choisissez d'importer (depuis un tableur ou l'export d'un autre outil de suivi — lus localement, jamais téléversés) ; et une sauvegarde JSON que vous restaurez. De lui-même, l'application ne va chercher de données de journal nulle part.
Votre profil (taille, poids de départ, poids cible, date de départ, unités préférées) ; les médicaments que vous ajoutez (nom, principe actif, voie d'administration, concentration, dose actuelle, calendrier, couleur, doses préenregistrées, état actif) ; et chaque entrée du journal — pesées et tours de taille, événements de dose (date, heure, dose, site d'injection, douleur, statut, notes), mensurations, nutrition, symptômes, bien-être et valeurs de laboratoire. À côté, elle stocke vos réglages de rappels, votre choix de thème, vos préférences de langue et de chiffres, si vous avez activé le rapport de plantage, et la trace de votre acceptation de ces documents (la version et la date). Un profil restauré depuis une sauvegarde ou un import peut aussi contenir un sexe et une date de naissance ; l'application ne demande ni l'un ni l'autre.
Dans une base de données située dans le stockage privé de l'application sur cet appareil, sous des clés préfixées "shoteo:". À côté, l'application conserve un instantané JSON du même journal, sous forme de fichier dans ce même stockage privé, réécrit au fil de vos saisies. Il existe pour que votre journal survive à une base que l'application ne peut plus ouvrir, et pour pouvoir être restauré quand vous configurez un nouveau téléphone. Un petit double de deux valeurs — votre profil et votre trace de consentement — est gardé dans le stockage clé-valeur de l'appareil, pour que l'application puisse se rétablir si la base principale revient vide après un redémarrage. Rien n'est stocké hors du bac à sable de l'application. Comme tout s'y trouve, la sauvegarde propre de votre téléphone — la sauvegarde iCloud sur iPhone, Auto Backup sur Android — l'inclut ; c'est elle qui transporte votre journal vers un nouveau téléphone. Cette copie est faite par votre téléphone, pas par l'application, et elle relève des conditions de son fournisseur ; vous pouvez l'empêcher en désactivant cette sauvegarde dans vos réglages système.
Vos données de santé ne sont envoyées nulle part par l'application. Elle n'émet aucune requête réseau qui les contienne : pas de synchronisation, pas d'analyse et pas de publicité. Le rapport de plantage est la seule exception. Vous le choisissez lors de la première configuration — la case est cochée, et la décocher signifie que rien n'est jamais envoyé — et vous pouvez le modifier à tout moment dans les Réglages. Une fois activé, un plantage envoie son message d'erreur et sa pile d'appels — la trace technique du code qui a échoué — à un serveur du développeur, à monitoring.codexo.at. Il ne transporte jamais votre journal, ni rien qui vous nomme : pas de compte, pas d'adresse e-mail, pas d'identifiant publicitaire, pas de nom d'appareil. Il transporte deux choses malgré tout, et nous préférons le dire plutôt que de laisser croire le contraire : une empreinte technique de cette installation de l'application, qui n'identifie personne mais reste identique sur chaque rapport d'un même téléphone, et — comme toute requête vers n'importe quel site — votre adresse réseau, que le serveur voit. La suppression totale désactive le rapport. L'application émet toutefois un type de requête réseau qui lui est propre : à son démarrage, elle demande à son service de mise à jour (EAS Update, opéré par Expo) si une version plus récente de son propre code est disponible, et la télécharge le cas échéant. Cette requête concerne l'application, pas votre journal — elle contient les informations techniques nécessaires pour y répondre : la version de l'application et la plateforme, ainsi qu'un identifiant aléatoire créé à l'installation pour que le service livre les mises à jour de manière fiable, plus l'adresse IP que toute requête Internet expose nécessairement. Elle ne contient jamais rien de ce que vous avez saisi. Cet identifiant appartient à cette installation de l'application, pas à vous — l'application ne sait rien de vous qui pourrait y être rattaché — et il disparaît avec l'application quand vous la supprimez. Vos données sortent par deux voies, toutes deux sous votre contrôle. La première : vous les exportez ou les partagez explicitement — une sauvegarde JSON, un fichier CSV ou un résumé PDF — et elles vont alors là où vous les envoyez ; à partir de ce moment, c'est l'application ou le service destinataire, pas Shoteo, qui décide de leur sort. La seconde : la sauvegarde propre de votre téléphone, si vous l'avez activée — le système d'exploitation copie le stockage de l'application avec celui de toutes les autres, vers iCloud ou vers Google, dans le cadre de votre accord avec eux.
Les rappels sont programmés et délivrés par votre appareil, localement, et seulement si vous les activez et accordez la permission. Ils contiennent le nom du médicament ainsi que la date et l'heure d'une dose planifiée — traitez-les donc comme toute notification visible sur un écran verrouillé. Vous pouvez les désactiver dans les réglages de l'application ou retirer la permission dans les réglages système.
Les réglages proposent une sauvegarde JSON complète (tout, restaurable dans l'application), un fichier CSV par type de données, et un résumé PDF destiné à un professionnel de santé. Les trois sont produits sur l'appareil et remis à la feuille de partage de votre système.
"Supprimer toutes les données" dans les réglages efface la base de données, le fichier d'instantané JSON, les doubles et votre trace de consentement, et ramène l'application à son état de premier lancement. C'est irréversible depuis l'application. Une copie déjà prise par la sauvegarde propre de votre téléphone est hors de portée de l'application — effacez-la via vos réglages système si vous voulez qu'elle disparaisse aussi. Supprimer l'application elle-même retire également son stockage. Les fichiers que vous aviez déjà exportés ou partagés sont hors de portée de l'application — supprimez-les là où vous les avez envoyés.
La protection principale est architecturale : des données qui ne quittent jamais votre appareil ne peuvent être ni interceptées en transit, ni compromises sur un serveur, ni mal traitées par un prestataire — ces endroits n'existent pas pour elles. Sur l'appareil, elles résident dans le stockage privé cloisonné de l'application, que le système d'exploitation isole des autres applications, et elles sont couvertes par le chiffrement de l'appareil et le verrouillage d'écran que vous utilisez. La seule copie qui voyage est la sauvegarde propre de votre téléphone, si vous l'utilisez — elle est sécurisée par Apple ou Google, selon le standard décrit dans leurs conditions, pas par nous. La sécurité de votre propre appareil — un écran verrouillé, des mises à jour du système — est donc la partie qui compte le plus, et elle est entre vos mains.
Il n'y en a aucun pour vos données de santé. Les sections sur les clauses contractuelles types ou les sous-traitants à l'étranger figurent dans les politiques de confidentialité parce que des données personnelles circulent entre pays ; votre journal ne circule pas du tout. Deux nuances : la vérification de mise à jour décrite plus haut atteint des serveurs opérés par Expo, une société des États-Unis — elle transporte les informations techniques décrites là, y compris l'identifiant aléatoire d'installation, et rien de votre journal. Et si la sauvegarde propre de votre téléphone est activée, l'endroit où elle réside relève de votre accord avec Apple ou Google, pas de nous.
Shoteo n'est pas destiné aux enfants. Il s'adresse à des adultes qui suivent leur propre traitement prescrit, et rien n'y est conçu, commercialisé ou destiné pour des mineurs — y compris les enfants de moins de 13 ans au sens de la règle américaine COPPA, dont nous ne collectons sciemment rien, comme nous ne collectons rien de personne. L'application ne vérifie pas l'âge, car elle ne collecte rien qui le permettrait : il n'y a ni compte ni information identifiante. Si un enfant a utilisé l'application sur un appareil partagé, le journal peut être entièrement effacé avec "Supprimer toutes les données" dans les réglages.
Le responsable du traitement de vos données personnelles est :
Codexo e.U.
Grillgasse 19/46, 1110 Vienna
Autriche
Registre du commerce : FN 671926b, Handelsgericht Wien
E-mail : contact@codexo.at
Notez ce que cela signifie en pratique : comme votre journal ne quitte jamais votre appareil, le responsable du traitement ne le détient pas. Nous ne pouvons ni consulter vos données, ni les restaurer, ni les supprimer pour vous — et, de même, nous ne pouvons ni les perdre ni les remettre à qui que ce soit.
Le RGPD vous donne le droit d'accéder à vos données personnelles, de les rectifier, de les effacer, d'en restreindre le traitement ou de vous y opposer, et de les recevoir dans un format portable. Comme vos données de santé restent sur votre appareil et que nous n'en détenons aucune copie, ces droits s'exercent directement dans l'application plutôt qu'auprès de nous : le journal lui-même est votre droit d'accès, modifier une entrée est votre rectification, les exports JSON et CSV sont votre portabilité, et "Supprimer toutes les données" est votre effacement. Une demande de copie ou de suppression de votre journal adressée à nous ne trouverait rien sur quoi porter. Si vous estimez que vos droits en matière de protection des données ont été enfreints, vous pouvez saisir la Österreichische Datenschutzbehörde (Austrian Data Protection Authority), Barichgasse 40-42, 1030 Vienna, dsb.gv.at, ou l'autorité de votre lieu de résidence.
Si vous vivez aux États-Unis, les lois de protection des données des États — le CCPA/CPRA californien, le My Health My Data Act de l'État de Washington, et le nombre croissant de lois semblables — vous donnent des droits sur les données de santé qu'une entreprise collecte, vend ou partage. La position de Shoteo est la même sous toutes : nous ne collectons pas vos données de santé, nous ne les vendons pas, nous ne les partageons pas, et nous ne les utilisons pour aucune publicité, ciblée ou non — nous ne les avons tout simplement jamais. Il n'y a rien à refuser et aucune demande à envoyer, car tout ce que ces lois vous permettent d'exiger est déjà entre vos mains : votre accès est le journal lui-même, votre suppression est "Supprimer toutes les données", votre portabilité est l'export. Shoteo n'est pas une entité couverte par la loi HIPAA, et votre journal ne fait partie d'aucun dossier médical — c'est une note privée sur votre propre téléphone, protégée par le fait d'y rester.
Les données de santé sont des données de "catégorie particulière" au sens de l'article 9 du RGPD — la classe que la loi protège le plus strictement. Shoteo remplit cette obligation par l'architecture plutôt que par contrat : votre journal réside sur votre appareil, sous votre seul contrôle, et nous ne le recevons ni ne le traitons ; il n'existe donc aucun traitement de notre part qui exigerait une base légale. La trace de votre acceptation de cette politique et de l'avertissement est elle aussi stockée sur votre appareil, pour que l'application puisse savoir si les conditions que vous avez acceptées ont changé depuis. Les données sont conservées aussi longtemps que vous les gardez : rien n'expire de soi-même, et tout est retiré quand vous les supprimez dans l'application ou désinstallez l'application.
Cette politique est livrée avec l'application et ne change qu'avec une mise à jour de celle-ci. Quand un changement touche à ce que vous avez accepté, l'application enregistre une nouvelle version de ces documents et vous demande de les relire et de les accepter avant de continuer. La version en vigueur est toujours celle affichée ici, et le même texte est publié à l'adresse indiquée ci-dessous.
Questions sur cette politique ou sur vos données : contact@codexo.at.