Politique de confidentialité
1. Responsable du traitement et gouvernance
Éditeur et responsable du traitement : Palta Negra LLC — New Mexico Entity ID : 0008083445.
1209 Mountain Road Pl NE, Suite N, Albuquerque, NM 87110, United States.
Contact : contact@powalia.com · +33 6 09 12 14 50.
Référente interne à la protection des données : Frédérique Chataigner — contact@powalia.com. Cette fonction de référente interne est distincte de celle d’un délégué à la protection des données (DPO, articles 37 à 39) et de celle du représentant européen (article 27).
Représentant dans l’Union européenne — article 27 du RGPD : DPO Europe GmbH, Auguste-Viktoria-Allee 20A, 13403 Berlin, Germany (HRB 235801) — representative+palta.negra@data-privacy-office.eu, +49 30 219 25359. DPO Europe GmbH agit comme représentant de Palta Negra LLC dans l’Union ; il n’est pas le DPO de Palta Negra LLC.
Powalia traite des données de santé, sensibles au sens de l’article 9 du RGPD, avec un niveau de protection renforcé.
2. Données que nous collectons
Compte : e-mail, mot de passe (stocké haché, jamais en clair), prénom, langue, rôle.
Santé et bien-être (que vous saisissez) : profil (symptômes, traitements et compléments, sommeil, stress, charge mentale), alimentation (repas, boissons, photos de repas, analyses nutritionnelles, hydratation, jeûne), mesures corporelles et photos d’évolution facultatives, consommations déclarées.
Usage et technique : données de connexion et identifiants techniques nécessaires au fonctionnement.
Gamification (« Powas ») : points et niveaux liés à votre activité.
Relations thérapeute (facultatif) : lien avec un·e thérapeute et données que vous choisissez de partager.
Achats : lors d’un abonnement ou d’un achat, Apple ou Google traitent le paiement et nous transmettent les informations nécessaires à l’activation de votre accès (voir §7).
Photos de repas : l’image est transmise temporairement à notre prestataire d’analyse par IA pour produire une estimation nutritionnelle (voir §5) ; Powalia ne conserve pas durablement les photos de repas sur ses serveurs.
Photos d’évolution corporelle : facultatives, stockées dans un espace de stockage objet privé (région PAR1, France), accessibles uniquement via une URL signée temporaire, affichées dans Powalia, et supprimées avec le compte.
3. Données de santé et consentement (article 9)
Le consentement au traitement de vos données de santé vous est demandé au premier usage d’une fonctionnalité de santé (« juste-à-temps »), et non comme condition de création du compte. Ce consentement est libre, spécifique, éclairé, univoque, horodaté et révocable à tout moment sans effet rétroactif. Tant qu’il n’est pas donné, les données de santé concernées ne sont pas synchronisées sur nos serveurs.
Lorsque vous lancez une analyse, les photos et descriptions de repas sont transmises à notre prestataire d’IA pour produire l’analyse (voir §5). Powalia n’est pas un dispositif médical : il n’établit aucun diagnostic, ne prescrit ni ne traite. Les résultats sont fournis à titre informatif et ne remplacent pas l’avis d’un·e professionnel·le de santé.
4. Finalités et bases légales
- Créer et gérer votre compte, fournir le service — exécution du contrat (CGU).
- Personnaliser l’accompagnement, analyser et synchroniser vos données de santé — votre consentement (article 9).
- Partager des données avec un·e thérapeute que vous désignez — votre consentement explicite, par catégorie et révocable.
- E-mails liés au service (sécurité, réinitialisation) — exécution du contrat / intérêt légitime.
- Gérer les abonnements et achats — exécution du contrat.
- Sécurité et prévention des abus — intérêt légitime.
5. Intelligence artificielle
Pour analyser vos repas et compléments, certaines données (photo ou description de repas, éléments nécessaires à l’analyse) sont transmises, via un relais serveur, à notre prestataire d’IA, actuellement OpenAI (organisation Palta Negra LLC). L’appel utilise l’API de complétion de conversation (endpoint /v1/chat/completions) ; aucune fonction de stockage persistant côté OpenAI n’est utilisée (pas d’assistants, de threads, de fichiers, de vector stores ni de fine-tuning).
Le compte OpenAI est réglé pour que les données d’API ne soient pas utilisées pour entraîner les modèles, et la journalisation des appels est désactivée. Une conservation technique de courte durée à des fins de surveillance anti-abus, pouvant aller jusqu’à 30 jours, peut subsister chez OpenAI. Nous ne transmettons pas votre identité complète au prestataire, sauf nécessité technique. L’architecture est conçue pour pouvoir changer de fournisseur d’IA.
6. Partage avec une thérapeute
Le partage de vos données avec un·e thérapeute est volontaire (aucun partage par défaut), explicite, granulaire (vous choisissez les catégories) et révocable à tout moment (la révocation coupe l’accès immédiatement).
7. Destinataires, prestataires et plateformes de paiement
- Scaleway — hébergement du backend et des données (base PostgreSQL, stockage objet), région PAR1, France.
- OpenAI — analyse par IA des repas et compléments (voir §5).
- Resend — envoi des e-mails transactionnels (sécurité, réinitialisation).
- Vercel — distribution de l’application web (front-end).
- Apple et Google — plateformes de distribution et de paiement des abonnements et achats intégrés. Les informations de paiement sont collectées et traitées directement par la plateforme concernée selon ses propres conditions. Powalia reçoit uniquement les informations nécessaires à la validation de l’achat, à l’activation de l’accès et à la gestion de l’abonnement.
- Systeme.io — hébergement et accès aux programmes en ligne achetés dans la boutique via Apple ou Google. Seules les données nécessaires à la fourniture de l’accès sont transmises : identité, adresse e-mail, programme acheté et données techniques d’activation. Powalia ne transmet pas à Systeme.io les données de santé que vous renseignez dans l’application.
Nous ne vendons pas vos données. L’hébergement des données (Scaleway) fait l’objet d’un contrat dédié, en France.
8. Sécurité
Le backend et les données sont hébergés chez Scaleway, en France (région PAR1). Les échanges avec nos serveurs sont chiffrés en transit (HTTPS/TLS). Les mots de passe sont hachés ; les jetons de réinitialisation ont une durée de vie courte. L’accès est contrôlé par jetons d’authentification ; à la suppression d’un compte, les jetons existants deviennent immédiatement invalides. Aucune donnée n’est visible par un tiers (dont un·e thérapeute) sans partage explicite et révocable.
9. Durées de conservation
- Données de compte, de santé et de bien-être : pendant la durée d’existence du compte ; supprimées à la suppression du compte.
- Photos d’évolution corporelle : durée du compte, sauf suppression manuelle anticipée.
- Photos et descriptions de repas : transmises temporairement pour analyse ; pas de conservation durable côté Powalia.
- Sauvegardes techniques de la base PostgreSQL : au maximum 7 jours.
- Demandes de support : 24 mois.
- Prospects : 3 ans.
- Comptabilité et justificatifs de transaction : 10 ans (obligation légale).
- Registre des demandes d’exercice de droits : 5 ans.
- Résultats d’analyse mis en cache technique côté serveur : 24 heures.
- Messages de l’assistant Powa : conservation minimisée, purgés automatiquement après résumé ou après réponse.
- Résumé de mémoire de l’assistant Powa : conservé jusqu’à la suppression du compte.
- Journaux d’ouverture des contenus achetés : usage interne lié à la fourniture des contenus.
- Conservation technique anti-abus chez OpenAI : jusqu’à 30 jours (voir §5).
10. Transferts hors EEE
En tant qu’éditeur, Palta Negra LLC peut accéder à certaines données depuis des pays tiers (hors EEE). Selon les fonctions utilisées, certaines données peuvent être traitées hors de l’EEE par des prestataires tels qu’OpenAI, Vercel, Resend, Apple, Google et Systeme.io. Les données hébergées par Scaleway sont situées en France. Nous n’affirmons aucune certification ni aucun périmètre non démontrés.
11. Vos droits
Vous disposez de droits détaillés sur la page « Vos droits et données personnelles ». Vous pouvez exporter vos données depuis l’application (Profil → Confidentialité et mes données → Exporter mes données) : un fichier de vos données vous est fourni. Vous pouvez aussi adresser une demande d’accès ou de portabilité à contact@powalia.com.
12. Stockage local
Pour fonctionner rapidement, l’Application conserve une copie locale de certaines données sur votre appareil (cache) et un jeton d’authentification. Ce cache peut persister sur l’appareil et est purgé lors de la suppression du compte.
13. Public visé et âge minimum
Powalia est principalement conçue pour les personnes concernées par la périménopause et la ménopause. L’application est classée 16+ sur l’App Store et n’est pas destinée aux enfants de moins de 16 ans. Palta Negra LLC ne cherche pas à collecter sciemment des données personnelles concernant des personnes de moins de 16 ans. Si nous découvrons que des données concernant une personne de moins de 16 ans ont été collectées, elles pourront être supprimées conformément à la présente politique de confidentialité et aux lois applicables.
14. Applications mobiles, permissions et cookies
Les permissions (appareil photo, photos, notifications) sont demandées uniquement lorsque la fonctionnalité concernée le nécessite. Powalia complète les déclarations requises par les plateformes (App Privacy d’Apple, Data Safety de Google Play). Sur les cookies et traceurs, voir la « Politique de cookies ».
15. Modifications
Nous pouvons faire évoluer cette politique. En cas de changement important, nous vous en informons et, si nécessaire, recueillons à nouveau votre consentement. La version applicable est datée en tête de page.