Ce qu'on sait de toi, et ce qu'on ne peut pas lire.

Le responsable du traitement est Riad Mahi, développeur indépendant établi en France. Pour toute question sur tes données, y compris pour exercer tes droits : contact@riadmahi.com.

Naya&Milo n'a ni actionnaire, ni régie publicitaire, ni partenaire commercial à qui revendre quoi que ce soit. Le modèle économique est l'abonnement, et c'est tout.

Ton compte. Une adresse e-mail et un identifiant. Le premier lancement se fait sans compte du tout : l'app crée une identité anonyme, sans adresse, et tu ne donnes une adresse que le jour où tu veux retrouver ton journal sur un autre téléphone.

Ce que tu notes. Deux catégories, traitées différemment, et la distinction compte :

• Le texte libre — tes conversations avec Naya ou Milo, tes notes, les noms de tes traitements, les questions que tu prépares pour ton médecin, le contact de confiance. Il est chiffré sur ton téléphone avant d'être envoyé (voir §3).

• Les données structurées — l'intensité d'une douleur, la zone du corps, la durée d'une nuit, un contexte comme « nuit courte », les totaux quotidiens de ta montre. Elles ne sont pas chiffrées, parce que ce sont elles qui permettent de calculer une moyenne ou une tendance côté serveur. Elles ne contiennent aucune phrase que tu as écrite.

Ton abonnement. L'état de ton abonnement, transmis par l'App Store ou Google Play via RevenueCat. Nous ne voyons jamais ton moyen de paiement.

Le texte libre est chiffré en AES-256-GCM sur ton téléphone, avec une clé générée sur l'appareil et gardée dans le trousseau du système. Cette clé ne part jamais. Concrètement : quelqu'un qui obtiendrait un accès complet à la base de données ne lirait pas une seule de tes phrases.

La contrepartie est réelle et nous préférons la dire : si tu réinstalles l'app sans avoir enregistré ta phrase de récupération, les anciennes lignes chiffrées deviennent illisibles — pour toi aussi. Nous ne pouvons pas les récupérer, parce que nous n'avons jamais eu la clé. Le reste de ton journal, lui, revient normalement.

Apple Santé / Health Connect — en lecture seule. L'app lit ton sommeil, tes pas, tes entraînements et ta fréquence cardiaque. Elle n'écrit jamais rien dans Santé. Les mesures sont agrégées par jour sur ton téléphone, et seuls ces totaux quotidiens partent — jamais les mesures brutes.

Ton agenda — en lecture seule. Les titres et les dates sont lus sur ton téléphone pour repérer un rendez-vous médical. Rien n'est créé ni modifié dans ton agenda, et seul un rendez-vous que tu confirmes est conservé. Ton agenda, lui, ne part jamais.

Le micro. Uniquement quand tu appuies pour parler. L'enregistrement est envoyé pour être transcrit, puis effacé : ni nous ni le prestataire de transcription ne le conservons. C'est le texte, chiffré, qui reste.

Ces trois accès sont facultatifs. L'app fonctionne entièrement sans, et tu peux les retirer à tout moment dans les réglages de ton téléphone.

L'hébergeur. Tes données sont stockées chez Supabase, dans l'Union européenne. Le texte libre y arrive déjà chiffré.

Le service d'IA. Pour répondre, Naya doit lire ton message. Il est donc transmis en clair, le temps d'une requête, à notre passerelle et au fournisseur de modèle qu'elle utilise. Ni l'une ni l'autre ne le conserve, et il n'est jamais utilisé pour entraîner un modèle.

Les boutiques. Apple et Google gèrent le paiement et nous transmettent, via RevenueCat, uniquement l'état de ton abonnement.

Personne d'autre. Aucune régie publicitaire, aucun courtier en données, aucune revente — jamais, sous aucune forme.

Aucun outil de mesure d'audience, aucun traceur, aucun rapport de plantage. Ce n'est pas une intention, c'est un fait vérifiable : il n'y a aucun SDK de ce type dans l'application, sur aucune des deux plateformes. Aucun identifiant publicitaire n'est lu.

Aucune publicité, et aucune donnée de santé ne servira jamais à en cibler une.

Les notifications ne contiennent jamais de contenu de santé. Elles sont préparées par ton téléphone, restent sur ton téléphone, et disent au maximum qu'il est l'heure de faire le point.

Tes données sont conservées tant que ton compte existe : un carnet de santé qui s'efface tout seul au bout d'un an n'a aucune valeur le jour du rendez-vous.

Tu peux supprimer ton compte depuis l'app, dans Toi → Supprimer mon compte. La suppression est immédiate et définitive : elle efface en cascade ton profil, ton journal, tes conversations, tes traitements, tes signaux et tes comptes rendus. Il n'y a pas de corbeille et nous ne pouvons rien restaurer.

Le RGPD te donne un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. Deux d'entre eux sont directement dans l'app, sans avoir à écrire à qui que ce soit :

• Portabilité — *Toi → Exporter mes données* produit l'intégralité de ton contenu en JSON et en PDF.

• Effacement — *Toi → Supprimer mon compte*, décrit ci-dessus.

Pour tout le reste, écris à contact@riadmahi.com. Tu as aussi le droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

La base légale du traitement de tes données de santé est ton consentement explicite (art. 9.2.a du RGPD), demandé à l'installation et retirable à tout moment en supprimant ton compte.

Naya&Milo n'est pas destinée aux personnes de moins de 16 ans, et nous ne collectons pas sciemment leurs données. Si tu penses que c'est arrivé, écris-nous et le compte sera supprimé.

Naya&Milo n'est pas un dispositif médical. L'app ne pose aucun diagnostic, n'interprète aucun résultat et ne donne jamais de conseil de dosage. Elle t'aide à décrire ce que tu vis pour que la personne qui te soigne ait de quoi travailler.

En cas d'urgence, appelle le 15 ou le 112. L'app n'est pas un service d'urgence et personne ne lit tes messages en temps réel.

Si cette politique change de façon significative, tu seras prévenu dans l'app avant que le changement s'applique. La date en haut de page indique la dernière version.