1. Responsable du traitement
Le responsable du traitement pour PappAI est Electric Flock Ltd, une société constituée en Angleterre et au Pays de Galles (numéro de société 16375990), dont le siège social est situé au 27 Old Gloucester Street, Londres, Royaume-Uni WC1N 3AX.
Demandes relatives à la confidentialité : privacy@pappai.it. Assistance générale : support@pappai.it.
2. Champ d'application de la présente politique
La présente politique s'applique aux données personnelles qu'Electric Flock Ltd traite en tant que responsable du traitement — en particulier, les données relatives aux professionnels de la nutrition qui s'inscrivent sur la plateforme PappAI ou l'utilisent.
PappAI agit également en tant que sous-traitant lorsque des professionnels de la nutrition (agissant eux-mêmes en qualité de responsables du traitement) utilisent la plateforme pour stocker et gérer les données de santé de leurs patients. Dans ce cas, notre traitement est régi par l'accord de traitement des données (DPA) conclu avec le professionnel, et non par la présente politique. Le professionnel demeure seul responsable de la licéité du traitement des données de ses patients et de la fourniture aux patients des informations de confidentialité appropriées.
3. Données personnelles que nous collectons sur les professionnels
- Données de compte : nom, adresse e-mail, rôle professionnel et justificatifs fournis lors de l'inscription.
- Données de facturation : plan d'abonnement, statut de paiement. Les détails de la carte bancaire sont traités directement par Stripe et ne sont pas stockés par Electric Flock Ltd.
- Données d'utilisation et opérationnelles : horodatages de connexion, interactions avec les fonctionnalités et rapports d'erreurs nécessaires au fonctionnement et à l'amélioration du service.
- Journaux de sécurité et d'audit : enregistrements d'accès et journaux d'interactions avec l'IA conservés à des fins de surveillance de la sécurité et de conformité.
- Communications : demandes d'assistance et correspondances adressées à notre équipe.
4. Finalités et bases juridiques
| Finalité | Base juridique (UK GDPR / EU GDPR) |
|---|---|
| Fourniture de la plateforme SaaS et du service d'abonnement | Art. 6(1)(b) — exécution d'un contrat |
| Création de compte et authentification | Art. 6(1)(b) — exécution d'un contrat |
| Facturation et traitement des paiements | Art. 6(1)(b) — exécution d'un contrat ; Art. 6(1)(c) — obligation légale (TVA, comptabilité) |
| Surveillance de la sécurité, prévention des abus et journalisation des audits | Art. 6(1)(f) — intérêts légitimes (protection de la plateforme et de ses utilisateurs) |
| Amélioration du service et débogage | Art. 6(1)(f) — intérêts légitimes (amélioration de la fiabilité et de l'expérience utilisateur) |
| Respect des obligations légales et réglementaires | Art. 6(1)(c) — obligation légale |
Nous n'utilisons pas vos données à des fins publicitaires, de profilage à des fins marketing, ni pour une prise de décision automatisée produisant des effets juridiques ou des effets similaires significatifs.
5. Destinataires et sous-traitants
Nous ne partageons les données personnelles que dans la mesure nécessaire à la fourniture du service. Nos principaux sous-traitants sont :
- Google LLC / Google Ireland Ltd (Firebase Authentication, Firebase Cloud Messaging, Google Cloud Platform, Cloud Run, Cloud Storage, Vertex AI, Google Workspace pour les consultations vidéo Meet ; Google Analytics 4 pour l'analyse du site web public, sous réserve de consentement) — authentification, infrastructure, IA, notifications push, visioconférence.
- Stripe, Inc. — traitement des paiements du professionnel (SaaS) et des paiements patient-professionnel via Stripe Connect. Stripe agit en tant que responsable du traitement indépendant pour certaines données de paiement en vertu du droit applicable.
Nous ne vendons pas les données personnelles à des tiers. Nous ne partageons pas les données avec des réseaux publicitaires. Une liste à jour des sous-traitants (y compris les versions actuelles des DPA) est disponible sur demande à privacy@pappai.it.
6. Transferts internationaux
Certains de nos sous-traitants (notamment Google et Stripe) peuvent traiter des données en dehors du Royaume-Uni et de l'Espace économique européen. Lorsque de tels transferts ont lieu, nous nous appuyons sur des garanties appropriées :
- Pour les transferts depuis le Royaume-Uni : l'accord de transfert international de données du Royaume-Uni (IDTA) ou l'addendum britannique aux CCT de l'UE.
- Pour les transferts depuis l'EEE : les clauses contractuelles types (CCT) de la Commission européenne.
- Le cas échéant, les décisions d'adéquation adoptées par le Secrétaire d'État britannique ou par la Commission européenne.
7. Conservation des données
- Données du compte du professionnel : conservées pendant la durée de votre abonnement et jusqu'à 3 ans après la clôture du compte, afin de traiter les litiges et de respecter les obligations légales.
- Données de santé des patients (art. 9 RGPD) : traitées par PappAI en qualité de sous-traitant pour le compte du professionnel (responsable du traitement). La durée de conservation est déterminée par le professionnel en fonction de ses propres obligations professionnelles et déontologiques et des obligations fiscales applicables ; PappAI n'agit pas comme un archivage de dossiers cliniques et n'impose pas de manière autonome de durées de conservation clinico-sanitaire. Les modalités sont régies par l'accord de traitement des données (DPA).
- Registres de facturation et financiers : conservés pendant 10 ans en Italie (art. 2220 du Code civil italien) et 7 ans au Royaume-Uni, selon la juridiction applicable au responsable/professionnel.
- Données transmises au Sistema Tessera Sanitaria italien : conservées pendant 10 ans à des fins fiscales (art. 2220 du Code civil italien).
8. Vos droits
En vertu du UK GDPR et du EU GDPR, vous disposez des droits suivants concernant vos données personnelles :
- Droit d'accès — obtenir une copie des données personnelles que nous détenons à votre sujet.
- Droit de rectification — faire corriger les données inexactes.
- Droit à l'effacement — demander la suppression de vos données, sous réserve des obligations légales de conservation.
- Droit à la limitation du traitement — restreindre la manière dont nous traitons vos données dans certaines circonstances.
- Droit à la portabilité des données — recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition — vous opposer au traitement fondé sur des intérêts légitimes.
- Droit de ne pas faire l'objet d'une décision automatisée — nous ne prenons pas de décisions fondées uniquement sur un traitement automatisé ayant des effets juridiques ou des effets similaires significatifs.
Pour exercer l'un de ces droits, contactez-nous à l'adresse privacy@pappai.it. Nous répondrons dans un délai d'un mois. Nous ne facturons pas de frais pour les demandes standard.
9. Droit d'introduire une réclamation auprès d'une autorité de contrôle
Si vous résidez au Royaume-Uni, vous avez le droit de déposer une réclamation auprès de l'Information Commissioner's Office (ICO) : ico.org.uk.
Si vous résidez dans l'Union européenne, vous pouvez déposer une réclamation auprès de l'autorité de contrôle de votre pays de résidence ou d'établissement (par ex. le Garante Privacy en Italie, l'AEPD en Espagne, la CNIL en France, le BfDI en Allemagne, la CNPD au Portugal).
Nous vous encourageons à nous contacter en premier lieu afin que nous puissions traiter votre préoccupation directement.
10. Données de santé et de forme dans l'application mobile (Apple Health / HealthKit)
L'application mobile PappAI vous est fournie directement, à vous l'utilisateur final, et pour les données décrites dans cette section Electric Flock Ltd agit en qualité de responsable du traitement. Vous pouvez créer votre compte avec un e-mail, Google ou Sign in with Apple. Avec votre consentement explicite, l'application peut se connecter à Apple Health (HealthKit) sur iOS — et à des plateformes équivalentes sur d'autres systèmes — afin d'importer vos données de forme et vos mesures corporelles pour suivre vos progrès. Cette connexion est entièrement facultative : l'application est pleinement utilisable sans elle, et vous pouvez accorder ou retirer l'accès à tout moment depuis les réglages système de votre appareil.
Lorsque vous activez l'intégration, l'application lit les données suivantes depuis Apple Health :
- Poids corporel
- Nombre de pas et énergie active dépensée (calories)
- Fréquence cardiaque
- Taille, pourcentage de masse grasse et analyse du sommeil — uniquement si vous accordez l'autorisation supplémentaire facultative
Lorsque vous enregistrez des informations dans PappAI, et seulement si vous l'autorisez, l'application réécrit les données suivantes dans Apple Health afin de garder vos enregistrements synchronisés :
- Poids corporel que vous saisissez dans l'application
- Consommation d'eau (hydratation) que vous saisissez dans l'application
Les données de santé et de forme que vous choisissez de partager sont transmises à nos serveurs (Google Cloud Platform) dans le seul but de fournir les fonctionnalités de suivi des progrès dans l'application et, lorsque vous êtes lié à un professionnel de la nutrition, de les mettre à sa disposition au sein de la plateforme. Nous traitons ces données sur la base de votre consentement explicite (Art. 9(2)(a) UK/EU GDPR) et pour l'exécution de notre contrat avec vous (Art. 6(1)(b)). Nous n'utilisons jamais les données Apple Health (HealthKit) — ni aucune autre donnée de santé et de forme — à des fins publicitaires ou marketing, nous ne les vendons jamais et nous ne les partageons jamais avec des tiers pour leurs propres finalités. Les données HealthKit sont utilisées exclusivement pour fournir des fonctionnalités de santé et de forme au sein de PappAI, conformément aux exigences HealthKit d'Apple.
Si vous utilisez la fonctionnalité facultative de reconnaissance des repas par IA, la photo du repas que vous prenez est traitée par notre sous-traitant IA (Google Vertex AI) dans le seul but d'estimer les aliments et leurs valeurs nutritionnelles présents sur l'image. Les photos de repas ne sont pas utilisées à des fins publicitaires ni pour entraîner des modèles publicitaires tiers ; ce traitement est régi par la Section 5 (sous-traitants) et la Section 6 (transferts internationaux).
Vous pouvez déconnecter Apple Health à tout moment depuis les Réglages iOS, et vous pouvez demander la suppression des données de santé synchronisées via la suppression du compte dans l'application ou en contactant privacy@pappai.it (voir la Section 7 sur la conservation).
11. Modifications de la présente politique
Nous pouvons mettre à jour la présente politique de temps à autre. Lorsque nous apportons des modifications importantes, nous en informerons les utilisateurs inscrits par e-mail ou via une notification dans l'application au moins 14 jours avant l'entrée en vigueur des modifications. La version actuelle et sa date d'entrée en vigueur sont indiquées en haut de cette page.