Politique relative aux cookies et traceurs
Ceci est une traduction de courtoisie. En cas de divergence, la version italienne prévaut.
La présente information décrit l'utilisation de cookies, de stockage local et d'autres outils techniques par le site web www.aku-app.com et par l'application Aku, au sens de l'article 122 du décret législatif italien 196/2003 et des Lignes directrices du Garante (autorité italienne de protection des données) du 10 juin 2021.
1. Responsable du traitement
Le responsable du traitement des données personnelles est Mattia Peirano, professionnel indépendant, dont le siège est situé Via Ugo Bassi 22, 20159 Milan (MI), Italie, numéro de TVA 01640360085, code fiscal italien PRNMTT92S17D969H (ci-après, le "Responsable").
Contact confidentialité : privacy@aku-app.com · Site web : www.aku-app.com
2. Ce que sont les cookies et les traceurs
Les cookies sont de petits fichiers texte qu'un site web ou une application dépose sur l'appareil de l'utilisateur au moment de l'accès. Les traceurs comprennent, plus généralement, tout outil technique permettant d'identifier l'appareil ou le comportement de l'utilisateur dans le temps (cookies, jetons, identifiants uniques d'appareil, local storage, session storage, SDK de tiers).
Les traceurs se répartissent dans les catégories suivantes :
- De première partie : déposés directement par le Responsable ou par ses fournisseurs techniques dans le cadre de la fourniture du service
- De tiers : déposés par des tiers qui fournissent des fonctions supplémentaires (publicité, analytique, réseaux sociaux). Aku n'utilise pas de traceurs de tiers à des fins publicitaires ou de profilage
- De session : supprimés automatiquement à la fermeture de l'application ou du navigateur
- Persistants : conservés sur l'appareil pendant une période définie ou jusqu'à leur suppression manuelle
3. Le site web www.aku-app.com n'utilise pas de cookies
Ce site web n'utilise ni cookies de profilage ni outils de suivi. Le site ne dépose aucun cookie sur l'appareil de l'utilisateur, ni de première partie ni de tiers. Pour cette raison, aucune bannière de consentement n'est présente, ni requise, au sens des Lignes directrices du Garante du 10 juin 2021.
Les seuls outils techniques présents sur le site sont les suivants.
3.1 Préférence de langue (localStorage)
Lorsque l'utilisateur sélectionne une langue via le sélecteur de langue du site, le choix est enregistré dans le localStorage du navigateur (clé aku_lang), dans le seul but de présenter le site dans la langue préférée lors des visites suivantes. Il s'agit d'un stockage technique de première partie, exempté de consentement au sens des Lignes directrices du Garante du 10 juin 2021 : la donnée reste sur l'appareil de l'utilisateur, ne contient aucune information identifiante et n'est jamais transmise aux serveurs du Responsable ou de tiers. Elle peut être supprimée à tout moment en effaçant les données de navigation du navigateur.
3.2 Polices de caractères (Google Fonts)
Le site charge la police Raleway depuis les serveurs de Google LLC (fonts.googleapis.com et fonts.gstatic.com). Lors de la requête du fichier de police, le navigateur transmet à Google l'adresse IP de l'utilisateur, comme pour toute ressource chargée depuis un serveur distant. Le service Google Fonts ne dépose ni cookies ni autres traceurs sur l'appareil. Google peut traiter la requête sur des serveurs situés aux États-Unis ; pour la position de Google concernant les transferts hors UE, voir la section 7.
3.3 Formulaire d'inscription (Brevo)
Le formulaire par lequel l'utilisateur peut laisser son adresse e-mail pour recevoir des mises à jour envoie les données au fournisseur Brevo (Sendinblue GmbH) exclusivement lorsque l'utilisateur soumet volontairement le formulaire. Le site ne charge aucun script, cookie ou autre traceur de Brevo : aucune donnée n'est transmise à Brevo en l'absence d'un envoi explicite.
3.4 Absence d'outils d'analyse
Aucun des outils suivants n'est installé sur le site : Google Analytics, Google Tag Manager, Meta Pixel, LinkedIn Insight Tag, Hotjar ou outils équivalents. Il n'y a ni plugins sociaux, ni contenus embarqués de tiers, ni SDK publicitaires.
4. Déclaration de non-utilisation de traceurs publicitaires ou de profilage
Par choix délibéré, documenté dans l'analyse d'impact relative à la protection des données (DPIA v2.0), Aku n'utilise pas, ni sur le site ni dans l'application :
- Cookies ou SDK publicitaires (par exemple Meta Pixel, Google Ads, TikTok Pixel)
- Outils d'analyse comportementale ayant accès à des données de santé (par exemple Firebase Analytics, Amplitude, Mixpanel, Segment)
- Outils de remarketing ou de retargeting
- Plugins sociaux avec fonctions de suivi
- Tout traceur qui transmet des données relatives à la santé des utilisateurs à des plateformes publicitaires ou de marketing
Ce choix est motivé par la nature particulièrement sensible des données traitées (données de santé) et par le précédent FTC c. BetterHelp Inc. (2023), dans lequel le partage de données à caractère sensible avec des plateformes publicitaires a donné lieu à une sanction de 7,8 millions de dollars.
Aucune donnée relative à la santé des utilisateurs n'est jamais partagée avec des plateformes publicitaires.
5. Outils techniques utilisés dans l'application
L'application Aku n'utilise pas de cookies. Pour fonctionner, elle s'appuie exclusivement sur les outils techniques suivants (jetons d'authentification, stockage local et SDK techniques), tous strictement nécessaires à la fourniture du service :
| Outil | Type | Finalité | Données traitées | Durée | Fournisseur | Pays |
|---|---|---|---|---|---|---|
| Jeton de session Supabase | Première partie, technique | Authentification et maintien de la session utilisateur | UUID utilisateur, jeton de session | Session (expire automatiquement) | Supabase Pte. Ltd | Irlande (UE) |
| Jeton de rafraîchissement Supabase | Première partie, technique | Renouvellement automatique de la session sans nouvelle authentification | UUID utilisateur, jeton de rafraîchissement | 7 jours (renouvelable) | Supabase Pte. Ltd | Irlande (UE) |
| Jeton Apple Sign In | Première partie, technique | Authentification via Apple ID | Jeton Apple opaque (aucune donnée personnelle supplémentaire transmise à Aku au-delà du jeton) | Session | Apple Inc. | USA (CCT) |
| Jeton Google OAuth | Première partie, technique | Authentification via compte Google | Jeton Google opaque (aucune donnée personnelle supplémentaire transmise à Aku au-delà du jeton) | Session | Google LLC | USA (CCT / DPF) |
| AsyncStorage (stockage local de l'application) | Première partie, technique | Stockage local des préférences de l'utilisateur (par exemple réglages audio, préférences de notification, langue) | Préférences de l'utilisateur ; aucune donnée de santé stockée en clair sur l'appareil | Persistant, jusqu'à la désinstallation de l'application | React Native / Expo | Appareil local |
| SDK Supabase (client) | Première partie, technique | Communication sécurisée avec la base de données (appels API, authentification, temps réel) | Données de session, requêtes API | Session | Supabase Pte. Ltd | Irlande (UE) |
| SDK Expo (notifications push) | Première partie, technique | Envoi et réception des notifications push | Jeton de l'appareil (Expo Push Token), texte de la notification | Persistant, jusqu'à la désinstallation ou la révocation de l'autorisation | Expo (650 Industries, Inc.) | USA (DPA en cours de formalisation) |
| SDK RevenueCat | Première partie, technique | Gestion des abonnements, vérification des achats, synchronisation avec l'App Store / Google Play | UUID utilisateur pseudonyme, identifiant d'achat, statut de l'abonnement | Session et persistant (pour la gestion de l'abonnement actif) | RevenueCat, Inc. | USA (CCT, SOC2 Type 2) |
Jeton de session et jeton de rafraîchissement (Supabase). Ces jetons sont strictement nécessaires au fonctionnement de l'application. Sans eux, il n'est pas possible d'accéder à son compte ni d'utiliser aucune fonctionnalité du service. Les deux jetons sont traités entièrement par Supabase, hébergé en Irlande (Union européenne), et n'impliquent aucun transfert de données hors UE.
Jetons d'authentification Apple Sign In et Google OAuth. Lorsque l'utilisateur choisit de se connecter avec son Apple ID ou son compte Google, le fournisseur d'authentification génère un jeton opaque qui est transmis à Aku exclusivement dans le but d'identifier le compte. Aku ne reçoit aucune donnée de santé ni donnée de profilage de l'authentification via Apple ou Google : les fournisseurs ne transmettent au Responsable que le jeton et, dans le cas de Google, l'adresse e-mail associée au compte (si l'utilisateur l'autorise expressément).
AsyncStorage (stockage local sur l'appareil). L'application utilise le mécanisme de stockage local de l'appareil pour enregistrer les préférences de l'utilisateur. Ces données restent sur l'appareil et ne sont pas transmises à des serveurs distants, sauf par synchronisation explicite avec la base de données Supabase. Aucune donnée de santé n'est stockée en clair sur l'appareil via AsyncStorage.
SDK Expo (notifications push). Lorsque les notifications push sont activées, l'appareil de l'utilisateur génère un jeton unique (Expo Push Token) qui est transmis aux serveurs d'Expo aux USA. Le texte des notifications push ne contient aucune référence directe à des données de santé. L'utilisateur peut révoquer à tout moment l'autorisation des notifications push depuis les réglages de l'appareil.
SDK RevenueCat. RevenueCat est le fournisseur utilisé pour la gestion des abonnements et la vérification des achats via l'Apple App Store et Google Play. Le SDK transmet aux serveurs de RevenueCat (USA) un identifiant utilisateur pseudonyme (UUID), l'identifiant d'achat et le statut de l'abonnement. RevenueCat ne reçoit pas de données relatives à la santé des utilisateurs.
6. Base juridique du traitement
| Catégorie d'outil | Base juridique |
|---|---|
| Stockage technique sur le site (préférence de langue dans le localStorage) | Intérêt légitime du Responsable (art. 6, par. 1, point f) RGPD) ; aucun consentement requis au sens des Lignes directrices du Garante du 10 juin 2021 |
| Jetons techniques de session (strictement nécessaires au fonctionnement de l'application) | Intérêt légitime du Responsable (art. 6, par. 1, point f) RGPD) ; aucun consentement requis au sens des Lignes directrices du Garante du 10 juin 2021 |
| SDK techniques de tiers strictement nécessaires (Supabase, RevenueCat) | Exécution du contrat (art. 6, par. 1, point b) RGPD) ; le service ne peut pas être fourni sans ces outils |
| Jetons d'authentification Apple / Google | Exécution du contrat (art. 6, par. 1, point b) RGPD) ; nécessaires à l'accès au compte via un fournisseur d'authentification tiers |
| SDK Expo (notifications push) | Consentement de la personne concernée (art. 6, par. 1, point a) RGPD) ; l'utilisateur doit autoriser explicitement les notifications push depuis les réglages de l'appareil |
7. Transferts hors UE
Les outils qui impliquent le transfert de données vers des pays hors UE (RevenueCat, Apple, Google, Expo, tous aux USA) sont régis par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne au sens de l'art. 46, par. 2, point c) RGPD ou, le cas échéant, par la décision d'adéquation relative au Data Privacy Framework UE-USA (Décision de la Commission C(2023)4745, juillet 2023). Pour chaque fournisseur, le Responsable a effectué ou est en train de finaliser une analyse d'impact du transfert (Transfer Impact Assessment, TIA), comme documenté dans la DPIA v2.0.
8. Comment gérer vos préférences
Préférence de langue du site. Vous pouvez supprimer la préférence enregistrée en effaçant les données de navigation de votre navigateur (voir la section "Confidentialité" ou "Cookies et données de site" des réglages de votre navigateur).
Notifications push (SDK Expo). Vous pouvez révoquer l'autorisation à tout moment depuis les réglages de votre appareil :
- iOS : Réglages → Aku → Notifications → désactiver "Autoriser les notifications"
- Android : Paramètres → Applications → Aku → Notifications → désactiver les notifications
Authentification Apple Sign In. Vous pouvez révoquer l'accès d'Aku à votre Apple ID depuis : Réglages → [votre nom] → Mot de passe et sécurité → Apps utilisant votre identifiant Apple → Aku → Cesser d'utiliser l'identifiant Apple.
Authentification Google OAuth. Vous pouvez révoquer l'accès d'Aku à votre compte Google depuis : myaccount.google.com → Sécurité → Applications tierces ayant accès au compte → Aku → Supprimer l'accès.
Stockage local (AsyncStorage). Les données stockées localement sur l'appareil sont supprimées automatiquement lors de la désinstallation de l'application.
9. Droits de la personne concernée
En ce qui concerne le traitement des données personnelles lié aux outils décrits, l'utilisateur peut exercer les droits prévus par les articles 15 à 22 RGPD (accès, rectification, effacement, portabilité, limitation, opposition) en écrivant à privacy@aku-app.com. Pour le détail de ces droits et leurs modalités d'exercice, veuillez consulter la Politique de confidentialité (v2.0), disponible dans l'application et à l'adresse www.aku-app.com/fr/privacy.
Vous avez également le droit d'introduire une réclamation auprès de l'autorité italienne de protection des données, le Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).
10. Mises à jour de la présente information
La présente information peut être mise à jour pour refléter des évolutions réglementaires (par exemple de nouvelles Lignes directrices du Garante), technologiques (par exemple l'introduction de nouveaux SDK ou outils techniques) ou opérationnelles. La version à jour, avec sa date d'entrée en vigueur, est toujours disponible dans l'application et à l'adresse www.aku-app.com/fr/cookies.
Si le Responsable entendait à l'avenir installer des outils d'analyse ou des traceurs non techniques, il procédera au préalable : (i) à la mise à jour de la présente information ; (ii) à la mise en place d'une plateforme de gestion du consentement (CMP) conforme aux Lignes directrices du Garante du 10 juin 2021, avec une granularité par catégorie ; (iii) au recueil du consentement de l'utilisateur avant l'activation de tout traceur non technique.