TempoLife — Politique de confidentialité

Responsable du traitement

Le responsable du traitement de vos données personnelles est :

• Développeur : équipe TempoLife / Probyte OÜ
• Application : TempoLife (org.tyrnpuu.medix)
• E-mail : info@tempolife.app
• Site web : tempolife.app

La présente politique de confidentialité décrit comment l’application TempoLife collecte, utilise, conserve et protège vos données personnelles conformément au Règlement général sur la protection des données de l’UE (RGPD, règlement 2016/679) et à la loi estonienne sur la protection des données personnelles.

Données que nous collectons

2.1 Données de compte et d’identité

• Nom et e-mail (à l’inscription ou via Google Sign-In)
• Photo de profil (facultative)
• Date de naissance, sexe, taille, poids — uniquement si vous les fournissez volontairement

2.2 Données de santé (RGPD art. 9 — catégorie particulière)

• Journaux alimentaires (calories, macronutriments, photos)
• Pas, activité physique, séances d’entraînement
• Durée et phases de sommeil, heure de réveil
• Humeur, niveau de stress et notes de bien-être
• Poids corporel et fenêtres de jeûne
• Fréquence cardiaque (via Health Connect)

2.3 Données techniques

• Type d’appareil, système d’exploitation, version de l’application (en-tête User-Agent)
• Adresse IP (journaux serveur, conservés 90 jours maximum)
• Identifiant de session (session PHP, jeton CSRF)

2.4 Ce que nous NE collectons PAS

• Historique de localisation ou localisation en arrière-plan — la recherche facultative de restaurants utilise votre position uniquement pendant la recherche et ne la conserve pas (voir section 2g)
• Identifiants d’appareil (IMEI, identifiant publicitaire, MAC)
• Contacts, journaux d’appels, SMS
• Données d’autres applications — à une exception près : si vous connectez Android Health Connect, nous lisons les types de données que vous avez expressément autorisés (voir section 2a)
• Votre galerie photo — l’accès à l’appareil photo et aux images sert uniquement à une photo de repas que vous prenez ou choisissez vous-même (voir section 2b)

Android Health Connect

Sous Android, TempoLife peut lire des données de santé et de forme depuis Health Connect, le magasin de données intégré à Android. Cela est entièrement facultatif. Rien n’est lu tant que vous n’avez pas connecté Health Connect dans l’application et accordé l’autorisation pour chaque type de données séparément sur l’écran d’autorisations d’Android.

Ce que nous lisons

• Pas — nombre de pas quotidiens
• Sommeil — sessions et phases de sommeil (profond, léger, paradoxal, éveil)
• Fréquence cardiaque — mesures de fréquence cardiaque
• Fréquence cardiaque au repos — mesures calculées par le fournisseur
• Variabilité de la fréquence cardiaque (VFC, RMSSD) — une valeur en millisecondes utilisée pour les tendances de récupération
• Séances d’entraînement — type, début, fin et durée
• Poids corporel — mesures de poids

Nous demandons un accès en lecture seule. TempoLife n’écrit rien dans Health Connect.

Pourquoi l’application en a besoin

Ces types de données alimentent les écrans principaux de l’application : totaux de pas et d’activité, analyses du sommeil, tendance de poids, ainsi qu’un écran Cœur dédié avec la dernière mesure, une référence personnelle de fréquence cardiaque au repos sur 28 jours, le contexte d’activité, de sommeil, de jeûne, de méditation et d’humeur, les zones d’entraînement et la récupération cardiaque, ainsi qu’un aperçu non médical de la récupération fondé sur la fréquence cardiaque au repos, la VFC, le sommeil et la charge d’entraînement récente. Sans Health Connect, ces données ne peuvent pas être renseignées automatiquement.

D’où proviennent les données

Health Connect est un magasin situé sur votre propre appareil, dans lequel d’autres applications et appareils écrivent — par exemple Samsung Health ou Garmin. TempoLife lit ce qui s’y trouve déjà. L’application ne se connecte pas directement à ces services et ne peut rien voir au-delà des types de données que vous avez autorisés. Health Connect fonctionne sur votre appareil ; le fait de le connecter n’envoie pas vos données à Google.

Quelle profondeur d’historique

Si vous accordez séparément l’accès à l’historique, TempoLife peut lire jusqu’aux 12 derniers mois de données de pas, de sommeil et de poids. Le module Cœur lit jusqu’à 35 jours de fréquence cardiaque au repos et de VFC pour sa référence, et jusqu’à 30 jours de séances. Sans accès à l’historique, Health Connect limite les lectures historiques à environ 30 jours. Comme les objets connectés peuvent produire des milliers de mesures, l’import général de fréquence cardiaque est limité aux 7 derniers jours ; des mesures plus denses sont conservées autour des entraînements récents afin de calculer les zones et la récupération cardiaque à 1 et 2 minutes. Les synchronisations ultérieures ne lisent que les enregistrements nouveaux ou modifiés, avec un court recouvrement.

Où elles sont conservées

Les données lues depuis Health Connect sont transmises en HTTPS/TLS et conservées dans votre propre compte TempoLife sur nos serveurs en Estonie (UE), exactement comme les données que vous saisissez manuellement. Elles ne sont visibles que par vous.

Ce que nous n’en faisons jamais

• Les données Health Connect ne sont jamais utilisées à des fins publicitaires ou marketing, pour de la publicité personnalisée ou par centres d’intérêt, ni pour constituer des audiences publicitaires.
• Elles ne sont jamais partagées avec des régies publicitaires, des plateformes publicitaires, des courtiers en données ou des revendeurs d’informations.
• Elles ne sont jamais vendues, à quiconque et pour quelque finalité que ce soit.
• Elles ne sont jamais incluses dans un événement d’analyse ou de publicité envoyé par l’application.
• Elles ne sont transmises à aucun tiers pour les finalités propres de ce tiers.

Retirer l’accès

• Dans l’application : déconnectez Health Connect dans les paramètres. TempoLife cesse alors de lire de nouvelles données.
• Sur votre appareil : Android Paramètres → Health Connect → Autorisations des applications → TempoLife, où vous pouvez retirer des types de données individuels ou tout l’accès d’un coup. Health Connect tient également son propre journal des applications ayant lu vos données.

Le retrait met fin à toute lecture future. Les données déjà synchronisées restent dans votre compte TempoLife afin que votre historique ne soit pas perdu silencieusement — vous pouvez l’exporter à tout moment (section 8), et il est définitivement supprimé lorsque vous supprimez votre compte (section 8a).

Appareil photo et photos de repas

TempoLife demande l’accès à l’appareil photo dans un seul but : photographier un repas afin qu’il soit reconnu automatiquement plutôt que saisi à la main. Vous pouvez aussi choisir une image existante au lieu d’en prendre une. L’autorisation n’est demandée qu’à la première utilisation de la fonction, et l’application ne prend jamais de photos en arrière-plan.

La photo quitte votre appareil

La reconnaissance des aliments n’a pas lieu sur votre téléphone. Après votre confirmation, la photo est envoyée en HTTPS à un service d’IA visuelle tiers — Google (Gemini) comme fournisseur principal, avec Anthropic (Claude AI) en secours — qui renvoie les aliments identifiés et leurs valeurs nutritionnelles estimées. Il s’agit d’un transfert de vos données à un tiers en dehors de l’application, et il n’a lieu qu’après votre accord explicite dans la boîte de dialogue de l’application. Si vous refusez, aucune photo n’est jamais envoyée et vous pouvez toujours enregistrer vos repas manuellement.

Ce qu’il advient de la photo

• Les métadonnées EXIF et GPS sont supprimées de l’image avant l’envoi.
• La photo n’est envoyée qu’au moment de la requête et est ensuite supprimée des serveurs du fournisseur en vertu de nos accords avec lui (voir section 4).
• Pour un traitement d’IA ordinaire, seuls l’entrée alimentaire obtenue et les valeurs nutritionnelles sont conservées. Une copie d’archive publique, soumise à un consentement distinct, constitue l’exception décrite à la section 2e.
• Les photos de repas ne sont jamais utilisées à des fins publicitaires ni vendues.

Consentement de l’aperçu anonyme et garde-fous anti-abus

Pour l’aperçu sans compte, nous conservons pendant 2 jours au maximum uniquement un sujet réseau pseudonyme, limité à la journée et dérivé à l’aide d’une clé secrète, la version du consentement et l’heure de l’événement. Cet enregistrement ne contient ni photo, ni résultat d’IA, ni entrée alimentaire, ni identifiant publicitaire, ni compte, et n’est jamais rapproché d’analyses marketing. La base de la preuve de consentement est votre consentement pour chaque utilisation et notre obligation de le démontrer (RGPD art. 6, par. 1, point a, et art. 7) ; la limitation du nombre de requêtes repose sur notre intérêt légitime à prévenir les abus du service et des coûts d’IA disproportionnés (art. 6, par. 1, point f).

L’aperçu étant sans compte, cet enregistrement ne peut être rattaché à un export de compte ni utilisé de manière fiable par nous pour identifier une personne. Il est supprimé automatiquement sous 2 jours. Pour exercer un droit ou vous opposer, contactez l’adresse indiquée à la section 12 ; nous vous expliquerons cette limite pratique et honorerons une demande vérifiable dans toute la mesure du possible.

Vous pouvez retirer l’accès à l’appareil photo à tout moment dans Android Paramètres → Applications → TempoLife → Autorisations. Le reste de l’application continue de fonctionner normalement.

Communauté et Tempo Feed

La communauté est facultative. Si vous ne l’utilisez pas, aucune de vos données n’est partagée avec d’autres utilisateurs.

Ce que les autres peuvent voir

• Profil : votre nom affiché, l’emoji choisi, le niveau et les points.
• Classement : nom, niveau et total de points. Vous pouvez vous en retirer (Communauté → Confidentialité).
• Défis : votre participation et votre progression dans les défis que vous rejoignez.
• Messages : ce que vous choisissez d’envoyer. Les messages ne peuvent être échangés qu’entre amis.
• Feed : publications, stories, photos, sondages, commentaires, réactions et relations d’abonnement que vous créez. Vous choisissez l’audience de chaque publication ou story.

Rien de vos journaux de santé n’est partagé automatiquement. Si vous activez séparément une catégorie d’activité dans les paramètres du Feed, vos abonnés peuvent voir un résumé limité tel qu’un total de pas, un nombre de repas enregistrés, une durée de sommeil ou de jeûne, une réussite, ou le fait qu’une pesée a eu lieu. Le poids exact, les lignes de journal, les notes, les itinéraires, l’humeur, la fréquence cardiaque et les autres données Health Connect ne sont pas affichés.

Signalement et blocage

Chaque profil dispose des fonctions Bloquer et Signaler. Le blocage interrompt l’interaction dans les deux sens. Lorsque vous signalez un contenu, nous enregistrons l’auteur du signalement, une référence au contenu signalé et votre motif, afin de pouvoir l’examiner et, si nécessaire, retirer le contenu ou suspendre des comptes.

Conservation

Les messages, publications et autres contenus communautaires sont conservés jusqu’à ce que vous supprimiez le contenu ou votre compte. Les stories expirent après 24 heures ; les photos de feed non rattachées sont normalement supprimées sous deux heures. La suppression de votre compte efface votre profil communautaire, vos messages, vos médias et vos enregistrements communautaires comme décrit dans « Suppression des données ».

Défi Daily Plan (campagne de 100 €)

Le Défi Points est facultatif. Si vous n’y participez pas, aucune de vos données n’est traitée pour la campagne.

Quelles données la campagne utilise

• Données de score : le planning de repas figé au moment de votre inscription, le respect du plan de repas, ainsi que le type et l’horodatage de chaque action vérifiée. Les calories, le poids, le nombre de pas et la durée de sommeil n’augmentent pas le score.
• Données de classement : votre nom affiché, le total de points, les points de régularité des repas, le nombre d’actions vérifiées et les jours actifs. Le retrait du classement (Communauté → Confidentialité) s’applique aussi à la campagne.
• En cas de gain : vos coordonnées (e-mail) pour le versement du prix.

La campagne ne collecte aucune donnée nouvelle — elle n’utilise que les données que vous enregistrez déjà dans l’application — et ne les partage ni avec des tiers ni avec des régies publicitaires.

Base légale et conservation

Les données de campagne sont traitées sur la base de votre consentement (inscription) et de l’exécution du règlement de la campagne (contrat). Les enregistrements de campagne sont conservés jusqu’à la suppression de votre compte ; les données liées au versement sont conservées pendant la durée requise par la législation comptable. Dans le tableau d’honneur, nous ne conservons que votre nom affiché et un résultat synthétique.

Optional public sharing, aggregates and public tools

Public meal card, gallery, photo-of-the-day and giveaway

Ordinary AI food photos are not stored on TempoLife servers. Only after a separate public web archive opt-in does the server create a metadata-stripped JPEG copy and public share card. Public fields can include the photo, food name, your caption, card content and share token; anonymous view and guess counters are not published as engagement metrics. The copy can appear in the gallery, search-indexed structured data and the photo-of-the-day rotation. The card expires after at most 90 days; an automated cleanup removes expired and orphaned files, although an operational failure can delay physical deletion until the next successful cleanup. A photo-of-the-day artifact is valid for at most 36 hours.

Entering that ISO week’s giveaway and displaying a winner name are additional choices tied to the exact approved rules version, material-terms hash and draw commitment for that round. Entry is unavailable until a one-time draw-secret hash has been published before opening. The eligibility check reads the account birthday, country and role to enforce the published minimum age, country list and staff exclusion; those profile fields are not put in the draw artifact. After close, the public audit publishes the secret reveal, a sorted list of pseudonymous entry keys derived from that week and public-card tokens, the list digest and winning key; it does not publish account IDs or the source tokens themselves. Consent does not roll into another week or changed terms. You can remove one item or all items at Public archive settings. Withdrawal immediately suppresses TempoLife publication and attempts to delete the JPEG and public fields; a revocation tombstone remains up to 100 days so TempoLife artifacts cannot republish it. Browsers, proxies, search engines or other recipients may retain a copy they cached while it was public. Account deletion immediately removes TempoLife public cards and copies.

Public aggregates

Regional and activity aggregates have separate settings. They publish only with at least 20 opted-in accounts, use completed or delayed periods and rounded buckets. The regional table omits points and streaks. Names, account identifiers, individual meals and health records never enter public aggregate output. Withdrawal excludes the account from the next calculation.

Estimate-to-label comparison

A voluntary pair contains an editable calorie estimate, same-serving package-label value, optional note and attestation/consent times. The public result covers only the previous completed month: one pair per contributor, at least 100 contributors, counts rounded down to 25 and metrics to whole units. Individual pairs are not published. One-click withdrawal immediately erases the note and calorie values, leaving only a revocation audit marker until account deletion.

Firefox extension and food search

The extension sends only the typed search term or selected food identifier to TempoLife’s food API. It sends no visited pages, page content, cookies or TempoLife account. Firefox stores up to five recent food names locally. TempoLife security logs may receive the search term, IP address, user agent and request time for no more than 90 days.

WordPress badge and Google Play reviews

The WordPress plugin requests only /counter.php?format=json. TempoLife receives the WordPress server IP, plugin user agent and request time (security logs, up to 90 days), but no visitor cookie, visitor IP or page URL. The reviews page may republish public review text, after contact details are scrubbed, plus its rating and Play link from the official Google Play Android Publisher API; the author name is omitted and snapshots older than 72 hours are not shown.

Telegram portion calculator

In an ordinary browser the calculator does not contact Telegram. When launched with Telegram Mini App parameters it loads Telegram’s SDK from telegram.org, which gives Telegram normal request metadata (including IP and user agent) and lets its JavaScript run on that calculator page. TempoLife does not read Telegram identity or init-data fields in this tool.

Optional publication relies on consent (GDPR Art. 6(1)(a)); security and operational logs rely on legitimate interests in protecting the service (Art. 6(1)(f)). Your portability export includes your share cards, remaining public JPEGs, comparison pairs and revocation records.

Variante de configuration rapide

Un nouveau compte peut être affecté à une variante de configuration rapide ou standard. Nous conservons uniquement le lien vers le compte, la variante, un groupe pseudo-aléatoire déterministe dérivé du compte, et l’heure d’affectation, afin que la même personne bénéficie d’une expérience cohérente pendant toute la configuration. Nous ne créons pour ce test aucun événement distinct de vue, de clic, de repas, de photo, de santé, de publicité ou de campagne ; son résultat n’est évalué qu’à partir du taux global d’achèvement de la configuration de profil existante.

L’enregistrement n’est transmis ni à Google Analytics ni à aucun autre tiers et n’est pas utilisé à des fins publicitaires. La base légale est notre intérêt légitime à réduire les frictions inutiles lors de la configuration au moyen d’un test minimal et respectueux de la vie privée (RGPD art. 6, par. 1, point f) ; nous documentons la mise en balance avant activation. Vous pouvez vous y opposer pour des raisons tenant à votre situation particulière via le contact indiqué à la section 12. Une affectation à configuration inachevée est supprimée au bout de 30 jours et une affectation à configuration terminée au bout de 90 jours ; elle est supprimée immédiatement lors du traitement d’une demande d’effacement de compte et figure dans l’export de données jusqu’à sa suppression.

Location (optional)

Location is optional and off until you turn it on. TempoLife asks for it only when you tap Use my location under the restaurant results of the food search — never when you open the app, and never in the background.

What it is used for

To show the restaurant menus that fit where you are: the menu of the country you are in (for example McDonald’s Estonia rather than the UK menu), with restaurants near you listed first.

What happens to your location

• Your device rounds the position to about 100 metres and sends it over HTTPS to our server only while you search.
• Our server uses it for that search and does not store it — not in your account, not in your diary, not in our logs.
• To learn which restaurants are nearby, our server asks the public OpenStreetMap service (Overpass API, run by FOSSGIS e.V., Germany) for the places in the surrounding map square of about 1 km, plus a margin. Only that map square is sent, from our server’s own address, with nothing that identifies you or your exact position.
• The list of restaurants in that map square is map data, not data about you. We keep it for up to 14 days so the next search is fast, and delete it once no one has searched there for 60 days.
• Your device remembers only whether you turned the feature on or off.

Turning it off

Tap Turn off under the restaurant results, or remove the permission in Android Settings → Apps → TempoLife → Permissions (in a browser: the site settings). Food search keeps working and uses your account’s country instead.

The legal basis is your consent (GDPR Art. 6(1)(a)), which you give by turning the feature on and allowing the permission, and which you can withdraw at any time as described above. Map data © OpenStreetMap contributors (ODbL).

Utilisation des données (finalité et base légale)

Recherche d’aliments : lorsque vous recherchez un aliment, nous enregistrons le texte que vous avez saisi (jusqu’à 120 caractères), la langue de l’application, le nombre de résultats provenant de notre propre base d’aliments et celui provenant de la base de produits emballés, ainsi que le fait que vous ayez ou non enregistré un aliment dans les 15 minutes suivantes. Cela poursuit une seule finalité : repérer les recherches qui ne renvoient rien afin de les corriger. L’enregistrement est lié à votre compte, n’est transmis ni à Google Analytics ni à aucun autre tiers, et n’est jamais utilisé à des fins publicitaires ou de profilage. La base légale est notre intérêt légitime à disposer d’une recherche d’aliments qui trouve effectivement des aliments (RGPD art. 6, par. 1, point f) ; vous pouvez vous y opposer pour des raisons tenant à votre situation particulière via le contact indiqué à la section 12. Les enregistrements sont supprimés automatiquement au bout de 90 jours, supprimés immédiatement lors du traitement d’une demande d’effacement de compte, et inclus dans l’export de données de l’utilisateur jusqu’à leur suppression.

TempoLife n’utilise jamais vos données à des fins publicitaires, de profilage ou de vente à des tiers. Cela vaut en particulier pour les données de santé et de forme lues depuis Android Health Connect, qui ne sont jamais utilisées à des fins publicitaires, jamais partagées avec des régies publicitaires ou des courtiers en données, et jamais vendues.

Pas un dispositif médical

TempoLife est une application générale de bien-être et de mode de vie. Ce n’est pas un dispositif médical et elle n’est pas destinée à diagnostiquer, traiter, guérir ou prévenir une maladie ou un état de santé.

Tout ce que l’application affiche — tendances, scores, résumés et suggestions générés par IA, ainsi que toute valeur lue depuis Health Connect ou un traqueur connecté — est fourni à titre d’information générale et de suivi personnel uniquement. Il ne s’agit pas d’un avis médical et cela ne doit pas servir de base à un diagnostic ou à un traitement, ni au démarrage, à l’arrêt ou à la modification d’un médicament ou d’une thérapie.

Des valeurs telles que les estimations de calories et de nutriments issues de la reconnaissance photo, les phases de sommeil et les mesures de fréquence cardiaque proviennent de capteurs grand public et de modèles automatisés et peuvent être inexactes. Consultez toujours un professionnel de santé qualifié pour un avis médical, un diagnostic ou un traitement. En cas d’urgence, appelez votre numéro d’urgence local (112 dans l’UE) — ne vous fiez pas à cette application.

Sous-traitants tiers

Vos données ne peuvent être traitées que par les prestataires suivants, avec lesquels nous avons conclu des accords de sous-traitance (DPA) :

Les photos de repas sont envoyées à Google Gemini AI (ou, en secours, à Anthropic Claude AI) uniquement pour la requête, puis supprimées chez le prestataire. Les photos sélectionnées via le parcours IA ordinaire de l’application ne sont pas conservées sur nos serveurs. Font exception le JPEG d’archive publique soumis à un consentement distinct (section 2e) et un JPEG temporaire sans métadonnées créé par la fonction facultative de partage PWA : ce dernier n’est conservé que pour le transfert, n’est pas envoyé automatiquement à une IA, et est supprimé en moins de 10 minutes ou immédiatement après sa récupération unique. Les métadonnées EXIF/GPS sont supprimées.

Les données lues depuis Android Health Connect (pas, sommeil, poids, fréquence cardiaque, fréquence au repos, VFC et entraînements) sont conservées dans votre compte TempoLife sur nos propres serveurs en Estonie. Elles ne sont jamais partagées avec des régies publicitaires, des plateformes publicitaires, des courtiers en données ou des revendeurs d’informations, ni jamais vendues. Si vous utilisez les fonctions d’IA facultatives — par exemple le coach IA ou un résumé de tendances — les valeurs nécessaires pour répondre à cette requête précise peuvent être envoyées au prestataire d’IA indiqué ci-dessus, pour cette seule requête et sur la base de votre consentement. Elles ne sont jamais transférées pour les finalités propres du prestataire ni à des fins publicitaires.

Transferts internationaux de données

Certains services (Google Gemini, Anthropic Claude, ElevenLabs) sont établis aux États-Unis. Les données ne sont transférées que sur la base des clauses contractuelles types (CCT) approuvées par la Commission européenne, du cadre de protection des données UE–États-Unis ou d’autres garanties prévues au chapitre V du RGPD.

En cliquant sur « J’accepte » dans la boîte de dialogue du service d’IA, vous donnez un consentement explicite et spécifique à ce transfert (RGPD art. 49, par. 1, point a).

Durée de conservation

Vos données ne sont conservées que le temps nécessaire à la fourniture du service :

• Compte actif : les données de compte sont conservées jusqu’à leur suppression, sauf durée plus courte prévue par la présente politique
• Suppression du compte (RGPD art. 17) : les données personnelles sont anonymisées immédiatement ; les journaux associés sont entièrement supprimés sous 30 jours
• Journaux serveur (IP, UA) : 90 jours maximum
• Codes de vérification par e-mail : 15 minutes ou jusqu’à utilisation
• Identifiants de lien magique : le lien est valable 15 minutes ; la ligne contenant l’adresse e-mail et l’empreinte du jeton est supprimée à l’utilisation, au remplacement, ou dans la minute suivant l’expiration
• Photo de repas temporaire partagée via la PWA : moins de 10 minutes ou jusqu’à sa récupération unique, selon ce qui survient en premier
• Requêtes IA Anthropic : 30 jours sur les serveurs d’Anthropic, puis suppression automatique (selon l’accord de sous-traitance Anthropic)
• Localisation (recherche facultative de restaurants) : non conservée — utilisée uniquement pendant la recherche ; la liste des restaurants par carré de carte d’environ 1 km est conservée jusqu’à 14 jours et ne contient aucune donnée utilisateur (voir section 2g)

Sécurité

TempoLife applique des mesures techniques et organisationnelles pour protéger vos données (RGPD art. 32) :

• Tout le trafic en HTTPS/TLS 1.2+
• Mots de passe stockés sous forme d’empreintes bcrypt — jamais en clair
• Protection par jeton CSRF sur toutes les requêtes de modification
• Content Security Policy (CSP), HSTS, X-Frame-Options : DENY
• Android : uniquement la version officielle du Play Store, signée par keystore SHA-256
• Base de données (PostgreSQL) hébergée dans l’UE (Estonie) ; sauvegardes chiffrées
• Sauvegarde cloud de l’appareil Android DÉSACTIVÉE (android:allowBackup="false")

Vos droits

En vertu du RGPD, vous disposez des droits suivants, que vous pouvez exercer directement depuis l’application (Profil → Confidentialité) ou en écrivant à info@tempolife.app :

• Droit d’accès (art. 15) — vous pouvez consulter toutes vos données dans l’application
• Droit de rectification (art. 16) — modifiez les champs du profil à tout moment
• Droit à l’effacement (art. 17) — écrivez à info@tempolife.app
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité des données (art. 20) — le bouton « Télécharger mes données » renvoie une archive ZIP contenant des exports JSON
• Droit d’opposition (art. 21)
• Droit de retirer votre consentement (art. 7) — désactivez une intégration ou un paramètre agrégé, ou retirez une carte publique ou une paire de comparaison ; la suppression du compte n’est pas nécessaire
• Droit d’introduire une réclamation — Inspection estonienne de la protection des données : www.aki.ee

Comment supprimer votre compte

TempoLife respecte l’article 17 du RGPD (droit à l’effacement). Pour supprimer votre compte, écrivez à info@tempolife.app depuis l’adresse associée à votre compte. Nous supprimerons le compte sous 30 jours.

Ce qu’il advient de vos données

• Une fois la demande traitée : votre e-mail, votre nom, votre photo de profil et tous les marqueurs identifiants sont anonymisés dans la base de données (par ex. deleted_12345_1714@deleted.tempolife). Votre session est clôturée. Vous ne pouvez plus vous connecter.
• Sous 30 jours : toutes vos données de santé personnelles (pas, sommeil, humeur, séances de jeûne, journaux alimentaires, etc.), ainsi que tout enregistrement hérité de fonctionnalités retirées, sont définitivement supprimés.
• Après 30 jours : il ne subsiste rien d’identifiable vous concernant, hormis des statistiques agrégées anonymisées et les journaux d’audit légalement requis (IP et e-mail supprimés après 30 jours).

Cookies et stockage local

Par défaut, TempoLife n’utilise que le stockage nécessaire au fonctionnement du service. La mesure publicitaire et analytique couvre Google Analytics 4 (pages vues anonymes et événements de tunnel produit), les identifiants de clic et de campagne Google Ads conservés jusqu’à 90 jours, et une ouverture d’application avant inscription mesurée au moyen d’un identifiant pseudonyme aléatoire. Elle est activée par défaut sur la base de notre intérêt légitime à mesurer quelles campagnes mènent à des inscriptions, et vous pouvez la désactiver à tout moment dans les préférences de mesure ; les identifiants ci-dessus sont alors supprimés. L’enregistrement d’ouverture (plateforme, agent utilisateur limité, première et dernière ouverture, nombre) est supprimé au plus tard 90 jours après la dernière ouverture. La personnalisation publicitaire reste toujours désactivée. Vous pouvez modifier ce choix à tout moment dans les préférences de mesure.

• PHPSESSID — identifiant de session (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — votre choix de mesure et son rattachement au compte, empêchant qu’un choix ne soit transféré à un autre compte sur un appareil partagé
• Identifiants de clic, UTM et de mesure Google Ads (_gcl_* / _ga*) — uniquement lorsque la mesure est activée, jusqu’à 90 jours ; servent à attribuer une inscription et sont supprimés lorsque vous désactivez la mesure
• tl_device (jusqu’à 365 jours) et tl_dseen (30 minutes) — uniquement lorsque la mesure est activée, pour la mesure pseudonyme des ouvertures avant inscription ; supprimés après rattachement à un compte ou lorsque vous désactivez la mesure
• Google Analytics 4 — pages vues anonymes et événements de tunnel produit, activé par défaut (personnalisation publicitaire désactivée)
• Télémétrie d’usage des comptes connectés — durée de session et écrans consultés pour les comptes connectés (hors invités), afin d’exploiter et d’améliorer le produit ; données propriétaires, 90 jours, jamais transmises à Google Analytics
• localStorage — thème, langue, indicateurs de consentement
• Service Worker — prise en charge hors ligne et cache

Confidentialité des enfants

TempoLife s’adresse aux utilisateurs âgés de 16 ans et plus. Les personnes de moins de 16 ans ne peuvent pas créer de compte sans le consentement d’un parent ou tuteur. Si nous apprenons avoir collecté des données d’une personne de moins de 16 ans sans consentement valable, nous les supprimons immédiatement.

Modifications de cette politique

En cas de modification substantielle de la politique de confidentialité, nous vous en informerons dans l’application (bannière ou e-mail) au moins 14 jours avant son entrée en vigueur. La poursuite de l’utilisation après la modification vaut acceptation.

Les versions antérieures sont archivées sur GitHub.

Contact

• E-mail : info@tempolife.app
• Site web : tempolife.app

Autorité de contrôle : Inspection estonienne de la protection des données — www.aki.ee