Politique de Confidentialité

Dernière mise à jour : 20 octobre 2026

1. Responsable du traitement

Emmanuel Gervoise — Perséides (entrepreneur individuel)
Email : support.lyra@perseides.io

2. Données collectées

Données d'identification

• Adresse email (création de compte)
• Adresse e-mail laissée sur la liste d'attente de perseides.io (sans création de compte)
• Prénom (optionnel, renseigné dans le profil)

Données de santé (catégorie spéciale RGPD)

• Glycémies importées (Nightscout, Glooko)
• Journal repas (glucides, descriptions, photos)
• Journal activité physique
• Données de sommeil (manuelles ou importées)
• Niveaux de stress déclarés
• Type de pompe et CGM utilisés
• Événements de vie déclarés

Données de comportement (anonymisées)

• Features utilisées (agrégé, sans lien à l'identité)
• Sessions d'utilisation (comptage anonyme)

3. Bases légales du traitement

Traitement	Base légale
Création et gestion du compte	Exécution du contrat
Traitement des données de santé	Consentement explicite
Envoi d'emails (brief, rappels)	Consentement
Analytics anonymisées	Intérêt légitime (amélioration du service)
Logs de sécurité	Obligation légale / intérêt légitime
Liste d'attente de la bêta	Consentement

4. Chiffrement et sécurité

Le profil, le journal, les repas, les glycémies importées et les conversations sont chiffrés avec AES-256-GCM au repos. Chaque utilisateur dispose d'une clé de chiffrement dérivée unique. Les communications sont chiffrées en transit (HTTPS/TLS). Les tokens d'authentification sont stockés en cookies httpOnly (protection XSS).

5. Sous-traitants

Sous-traitant	Usage	Localisation
Anthropic, PBC (Claude)	Réponses du chat, analyses et lecture des photos de repas — données pseudonymisées	USA (clauses contractuelles types)
Mistral AI	Réponses du chat — données pseudonymisées	Union européenne
Clever Cloud SAS	Hébergement des données, en zone certifiée Hébergeur de Données de Santé	France
Brevo (Sendinblue SAS)	Envoi des e-mails	Europe
Hostinger International Ltd	Hébergement de la boîte de support	Chypre (Union européenne)
Google LLC (États-Unis)	Seulement si tu connectes Google Agenda ou Google Fit : lecture de ton agenda, ou de tes glycémies enregistrées dans Google Fit	États-Unis

Le contenu envoyé à l'IA est pseudonymisé : ton nom et ton adresse e-mail n'y figurent jamais.

LYRA interroge aussi, sans compte et sans ton nom, Open Food Facts (le nom de l'aliment que tu recherches) et un service météo (ta ville, si tu actives la météo).

6. Durée de conservation

• Données de compte et données de santé : durée de vie du compte. À la suppression, elles sont effacées immédiatement.
• Sauvegarde : la copie de sauvegarde de la base, faite par notre hébergeur, est gardée 7 jours, puis effacée automatiquement.
• Preuve d'effacement : une empreinte tronquée et la date de l'effacement sont gardées, pour pouvoir prouver qu'il a eu lieu.
• Journaux techniques (sécurité, erreurs, usage de l'application, envois de courriels) : 12 mois, puis effacés automatiquement.
• Statistiques d'usage anonymes : 24 mois, puis effacées automatiquement.
• Liste d'attente : jusqu'à la création de ton compte, ou jusqu'à ce que tu demandes à en être retiré (lien dans le courriel de confirmation, ou écris à support.lyra@perseides.io).

7. Tes droits

Conformément au RGPD, tu disposes des droits suivants :

• Accès : obtenir une copie de tes données (Profil → Compte → Exporter mes données)
• Rectification : corriger des données inexactes
• Suppression : supprimer ton compte et toutes tes données (Profil → Compte → Supprimer mon compte)
• Portabilité : recevoir tes données dans un format lisible (ZIP JSON)
• Opposition : t'opposer à certains traitements
• Retrait du consentement : à tout moment, sans effet rétroactif

Pour exercer ces droits : support.lyra@perseides.io

Cette adresse sert au support technique de LYRA. Elle ne traite pas les questions de santé : pour toute question sur ta santé ou ton traitement, adresse-toi à ton équipe soignante. En cas d'urgence, appelle le 15.

Tu peux également adresser une réclamation à la CNIL : cnil.fr

8. Cookies

LYRA utilise uniquement les cookies strictement nécessaires au fonctionnement :

• lyra_token : token d'authentification (httpOnly, secure, durée 30 jours)

Aucun cookie publicitaire ou de tracking tiers n'est utilisé.

9. Modifications

Cette politique peut être mise à jour. En cas de modification substantielle, tu seras notifié par email au moins 15 jours avant l'entrée en vigueur.