Confidentialité de Mira

Données traitées par Mira

Mira traite l’identité du compte renvoyée par la connexion Google ou Apple, notamment l’identifiant du compte chez le fournisseur, le nom et l’adresse e-mail, ainsi qu’une URL d’avatar Google lorsqu’elle est fournie ; la taille et le poids du profil ; le fuseau horaire IANA faisant autorité et sa révision ; les objectifs nutritionnels et leur historique ; les dates et heures des repas, les photos, les valeurs nutritionnelles par aliment, les notes, l’état du traitement et les échéances de restauration après suppression. Les conversations avec le Coach peuvent contenir le texte que tu saisis, un enregistrement vocal conservé pour une lecture authentifiée, son état de traitement et la transcription créée à partir de celui-ci.

Apple peut fournir une adresse e-mail de relais privée et ne pas transmettre ton nom lors des connexions suivantes. Mira conserve les identifiants de révocation Apple chiffrés sur son serveur. Les connexions Apple et Google avec la même adresse e-mail vérifiée utilisent automatiquement le même compte Mira. Les adresses e-mail différentes restent séparées, sauf si tu lies explicitement un mode de connexion avec une preuve de connexion récente. Mira conserve aussi l’état de l’abonnement, la boutique, le produit, l’expiration, l’identité de la transaction et son environnement de production ou sandbox. Les achats sandbox TestFlight approuvés peuvent donner un accès bêta identifié séparément ; ils ne deviennent pas un abonnement payant de production.

Lorsque tu connectes un fournisseur de santé pris en charge, Mira peut traiter les pas, les calories actives, les séances d’exercice et le poids, ainsi que les types de données demandés, les dates et heures de capture, d’envoi et de projection, la version de l’application de l’appareil, la séquence de synchronisation, la version du consentement et un état d’audit de suppression réduit au minimum. Sur Android, Mira ne demande pas l’autorisation d’accès à l’historique Health Connect. Sur iPhone, Apple Health n’indique pas si tu as refusé l’accès en lecture ou si aucune donnée ne correspond. L’importation initiale et le rapprochement des fuseaux horaires sont limités à 30 dates locales.

Utilisation des données

Les données de compte permettent d’authentifier ton journal privé. Les photos de repas sont analysées pour identifier les aliments et estimer leurs valeurs nutritionnelles détaillées. Les données de repas et d’objectifs servent à afficher ton journal et ta progression nutritionnelle. Les messages du Coach servent à répondre, enregistrer des aliments, fournir les retours nutritionnels demandés et rechercher de manière privée dans les échanges visibles précédents lorsque cela est nécessaire pour répondre à une question ultérieure. Mira stocke l’enregistrement dans un stockage d’objets privé afin que la transcription puisse se terminer de façon fiable en arrière-plan et que tu puisses le lire tant qu’il est conservé. Les données de santé importées produisent les indicateurs quotidiens de mouvement, le poids actuel et les ajustements récents liés à l’exercice. Le fuseau horaire détermine les limites de ton calendrier local ; les observations de l’application mobile peuvent demander une mise à jour du fuseau contrôlée par révision, mais la valeur du serveur reste la référence.

Consentement santé et autorisations

L’association santé nécessite un consentement explicite à la version actuelle de la politique, au moyen d’un contrôle initialement décoché. Les autorisations du fournisseur sont distinctes du consentement Mira. Sur Android, retirer une autorisation Health Connect empêche Mira de lire ce type de données. Sur iPhone, Apple Health ne révèle pas si l’accès en lecture a été refusé, et Mira ne peut pas considérer un résultat vide comme une preuve d’autorisation. Modifier une autorisation du fournisseur ne révoque pas à elle seule la connexion au serveur Mira, ne retire pas le consentement Mira et ne supprime pas les données déjà importées.

La déconnexion dans Mira révoque uniquement cette connexion d’appareil après confirmation du résultat par le serveur. Elle ne modifie pas les autorisations dans Health Connect ou Apple Health. Un jeton révoqué par le serveur ne peut plus synchroniser. Retirer le consentement révoque la synchronisation et fige l’historique importé sans le modifier. Aucune de ces actions ne supprime silencieusement les données importées.

Suppression, restauration et conservation

L’action distincte Supprimer les données de santé importées bloque d’abord l’accès, révoque les jetons de connexion et empêche l’association, puis supprime les données sources importées, les agrégats, les projections, l’état de synchronisation et les métadonnées de l’appareil au moyen de tâches d’arrière-plan pouvant être réessayées. Les mesures manuelles, les repas, les objectifs nutritionnels et les preuves minimales d’audit du consentement et de la suppression restent conservés.

Les repas supprimés de manière habituelle et leurs photos privées peuvent être restaurés pendant 30 jours et sont inclus dans les exports durant cette période. Après l’échéance de restauration, des tâches de purge limitées suppriment les données et les objets privés. L’effacement du compte est distinct et révoque immédiatement l’accès au compte, tandis que la suppression physique des objets se poursuit durablement si une nouvelle tentative de stockage est nécessaire.

Les enregistrements vocaux transcrits avec succès sont conservés dans un stockage privé pour une lecture authentifiée jusqu’à l’effacement de ton compte. Mira conserve également un enregistrement ayant échoué jusqu’à ce que tu le réessaies ou le supprimes, dans les limites de stockage prévues par compte. Le texte visible des transcriptions du Coach et leur marqueur Transcrit depuis un message vocal sont conservés pendant toute la durée de vie du compte et supprimés lors de son effacement.

Les données de santé importées sont conservées tant que ton compte existe, jusqu’à ce que tu les supprimes explicitement ou effaces le compte. Un historique figé n’est pas automatiquement supprimé du seul fait du retrait du consentement ou de la révocation d’une connexion.

Si tu effaces un compte utilisant la connexion Apple, Mira supprime le compte et conserve uniquement un identifiant de révocation chiffré et un condensat d’identité minimal pendant les nouvelles tentatives de révocation auprès d’Apple. L’identifiant est supprimé après confirmation par Apple. Des défis d’authentification de courte durée et des condensats minimaux de révocation et de notification empêchent les rejeux et les retours tardifs ; les identifiants d’effacement terminé et les condensats associés sont purgés séparément des données utilisateur. Retirer la participation à la bêta met fin à l’accès bêta sans supprimer ton journal ni annuler un abonnement de production.

Prestataires et exclusions

Google traite la connexion uniquement pour l’identité. Le stockage privé DigitalOcean Spaces conserve les photos de repas et les enregistrements vocaux retenus en production. Gemini reçoit le contexte des photos et des modifications de repas nécessaire à l’analyse nutritionnelle et aux actions du chat. Si tu envoies un message vocal, Gemini reçoit également cet enregistrement pour créer une transcription. L’audio brut transcrit avec succès reste privé et disponible uniquement pour une lecture authentifiée jusqu’à l’effacement du compte ; la transcription et son marqueur d’origine vocale sont enregistrés comme message du Coach. Lorsqu’une question ultérieure nécessite du contexte précédent, des extraits limités de messages visibles de l’utilisateur et de l’assistant peuvent être envoyés à Gemini ; l’audio brut, les instructions système, les arguments et résultats des outils, les traces internes, les résumés et les mémoires sont exclus de la recherche dans les transcriptions. Les données de santé importées et les indicateurs de santé dérivés ne sont pas automatiquement inclus dans les instructions envoyées à Gemini.

RevenueCat reçoit l’identifiant opaque du compte Mira et les métadonnées d’achat des boutiques pour valider les abonnements, restaurer les achats et indiquer l’état de l’abonnement. Mira ne transmet à RevenueCat ni ton nom, ni ton adresse e-mail, ni tes données de santé, repas, photos, enregistrements vocaux ou messages du Coach. Sentry reçoit uniquement des erreurs d’application nettoyées lorsqu’il est configuré. Mira désactive le traçage, le profilage, la relecture, le transfert des journaux et la collecte de données personnelles par défaut. Le nettoyage retire les utilisateurs, les requêtes, les chaînes de paramètres, les fils d’événements, les contenus de santé, les identifiants de photo ou de stockage, les corps des réponses des fournisseurs et les jetons ; un événement est supprimé lorsque sa sûreté ne peut pas être démontrée.

Sécurité et accès

Mira utilise des requêtes API authentifiées de même origine, une diffusion privée des photos limitée dans le temps, un transport chiffré en production, une Content Security Policy appliquée, un traitement sans mise en cache pour les routes privées, des identifiants d’association à usage unique et une autorisation côté serveur. Les identifiants d’association sont placés dans le fragment d’un App Link ou saisis manuellement, jamais dans une chaîne de paramètres ou une description d’image.

Tes contrôles

Le profil connecté permet l’export des données, la modification du profil et des objectifs, le retrait du consentement santé, la suppression des données de santé importées, la restauration des repas et l’effacement du compte. Un message vocal ayant échoué propose les actions Réessayer et Supprimer à côté de la lecture authentifiée. Les exports incluent des métadonnées sûres du traitement vocal et la provenance des transcriptions, jamais l’audio brut ou les clés d’objets privés. Les objectifs nutritionnels de base restent disponibles lorsque la santé est non associée, obsolète, en cours de rapprochement, figée, révoquée ou en cours de suppression.

Statistiques facultatives et attribution des abonnements

Lorsque les statistiques facultatives sont disponibles, le site public Mira et l’app Mira demandent chacun un choix distinct. Un refus ne limite ni la navigation, ni la connexion, ni le suivi alimentaire, ni Health Connect ou Apple Health, ni les abonnements. Les paramètres de confidentialité du site et le profil de l’app permettent de modifier ce choix. Un refus dans l’app hors ligne arrête immédiatement la collecte locale et indique si la synchronisation avec le serveur reste en attente.

Avec ton choix, Google Analytics et Firebase traitent les identifiants du navigateur ou de l’instance de l’app, un identifiant de compte statistique indépendant pour l’utilisation connectée de l’app, les libellés de campagnes approuvés, les informations techniques sur l’appareil et l’app, ainsi que des événements d’acquisition comme l’inscription, les options d’abonnement, le paiement, l’essai et le premier abonnement payant. Google traite des informations réseau, dont les adresses IP, pour fournir son service et déduire une localisation approximative. Mira ne transmet aux services statistiques ni adresses e-mail, ni identifiants de connexion Google, ni identités de facturation, ni identifiants bruts de transactions des boutiques, ni photos d’aliments, ni données nutritionnelles ou de santé, ni messages Coach ou enregistrements vocaux. Le stockage publicitaire, les données utilisateur publicitaires et la personnalisation restent désactivés ; les statistiques Mira ne collectent pas d’identifiants publicitaires.

Mira utilise les libellés de campagnes approuvés pour comprendre comment les personnes découvrent l’app et deviennent des abonnés payants. Android peut conserver une campagne approuvée lors de l’installation depuis Google Play. Une visite indépendante du site n’est pas liée à ton compte dans l’app. L’attribution d’une installation anonyme sur iPhone peut rester inconnue. RevenueCat fournit des informations d’achat authentifiées ; Mira enregistre le premier abonnement admissible à prix positif séparément des essais, renouvellements et restaurations. La valeur rapportée est le prix communiqué par le fournisseur et ne constitue pas une comptabilité des règlements. Les statistiques ne décident pas de l’accès payant.

Les détails des campagnes approuvées sont conservés au maximum 30 jours et le contexte des installations inactives au maximum 90 jours. Les données statistiques envoyées par le serveur sont supprimées sous 7 jours ; les données en échec ou ambiguës sous 30 jours. La conservation des utilisateurs et événements dans Google Analytics est réglée sur 2 mois sans renouvellement lors d’une activité. L’historique des décisions de consentement facultatif dispose d’une fenêtre d’audit d’un an. Les données minimales d’admissibilité des abonnements et de déduplication sont conservées jusqu’à la suppression du compte et ne contiennent ni identifiants Google ni campagnes.

Le retrait du consentement et la suppression du compte arrêtent les nouveaux exports autorisés du serveur et mettent en attente des demandes de suppression pour les identifiants Google enregistrés. Les identifiants chiffrés nécessaires à la reprise des demandes sont conservés pendant une fenêtre de récupération de 90 jours au maximum. Un accusé de réception de Google ne confirme pas une suppression physique achevée ; un trafic retardé de l’app, des pannes temporaires et les rapports déjà agrégés peuvent limiter la suppression. Les suppressions inachevées sont consignées pour un suivi par l’opérateur. Les paramètres du site effacent les cookies statistiques locaux, mais la suppression du compte ne peut pas identifier des navigateurs anonymes indépendants. Pour une demande concernant les données du site, contacte l’adresse de confidentialité de cette politique et communique un identifiant visiteur disponible uniquement par ce canal privé.

Ce document est versionné indépendamment du consentement de santé. Des changements rédactionnels compatibles peuvent conserver un choix ; des changements importants des finalités statistiques ou des données exigent un nouveau choix. Les statistiques natives sont désactivées dans les builds jusqu’à ce que les vérifications de confidentialité et de configuration du fournisseur réussissent. Google est un prestataire externe de traitement statistique ; son traitement et ses transferts internationaux sont soumis aux accords Google applicables de l’opérateur. L’opérateur doit publier des informations de confidentialité cohérentes avant d’activer la collecte.