Politique de confidentialité

Application mobile Diabète Campus · Version du 20 octobre 2026

Votre carnet de suivi contient ce que vous avez de plus intime : vos glycémies, vos doses, vos documents médicaux, parfois vos écrits personnels. Ce document explique précisément ce que nous en faisons, et surtout ce que nous n'en faisons pas.

1. Qui est responsable de vos données

Le responsable du traitement est l'entreprise individuelle Diabète Campus, représentée par Nicolas Zeghmati.

• SIRET : 829 185 610 00039
• Adresse : 5 rue Gérard Llaury, 66130 Corbère-les-Cabanes, France
• Contact : contact@diabetecampus.com

L'éditeur est Infirmier Diplômé d'État, inscrit à l'Ordre National des Infirmiers (RPPS 66 66 94 922). Cette qualité professionnelle explique l'origine du projet, mais ne crée aucune relation de soin avec les utilisateurs de l'application : l'usage de celle-ci ne constitue ni une consultation, ni un avis médical personnalisé.

Compte tenu de la taille de la structure, aucun délégué à la protection des données n'a été désigné, la désignation n'étant obligatoire que pour les traitements de données sensibles à grande échelle.

2. Ce que l'application n'est pas

Ce choix a des conséquences concrètes sur le produit : l'application décrit vos données (elle compte, elle calcule des moyennes, elle répartit) mais elle ne relie jamais deux variables entre elles pour en tirer une conclusion. Elle vous donne la loupe, pas le verdict.

3. Les données que nous traitons

Toutes les données ci-dessous sont saisies par vous, dans l'application. Aucune n'est collectée à votre insu.

Compte et identité

Adresse email, mot de passe (stocké sous forme chiffrée irréversible), prénom, nom, date de naissance, genre, pays et ville de résidence, langue et préférences d'affichage.

Finalité : créer et sécuriser votre compte, adapter l'interface, vérifier l'âge minimum. Base légale : exécution du contrat qui nous lie (article 6.1.b du RGPD).

Si vous avez moins de 16 ans : l'accord d'un parent

Pour un membre de moins de 16 ans, nous enregistrons l'adresse email du parent qui a donné son accord, la date de cet accord, la version des documents qu'il a acceptés et, le cas échéant, la date d'un retrait. Nous ne conservons jamais le lien envoyé au parent, seulement une empreinte qui permet de le reconnaître.

Finalité : recueillir et pouvoir démontrer l'accord du titulaire de l'autorité parentale, exigé avant tout traitement des données de santé d'un moins de 16 ans. Base légale : obligation légale (articles 6.1.c, 7.1 et 8 du RGPD). Si un parent refuse, son adresse est conservée 30 jours, pour qu'il ne reçoive pas de nouvelle demande, puis effacée (intérêt légitime, article 6.1.f).

Le lien avec un parent

Un parent membre de l'application peut être rattaché au compte de son enfant de moins de 18 ans, à condition que l'enfant saisisse lui-même le code que son parent lui donne. Nous enregistrons ce lien et l'état de l'interrupteur de la Cafétéria. Le parent voit uniquement le prénom et l'âge de son enfant, et peut mettre sa Cafétéria en pause. Il n'a jamais accès au carnet, aux cahiers ni aux messages de son enfant.

Finalité : permettre à un parent de gérer l'accès de son enfant à l'espace d'échange entre membres. Base légale : exécution du contrat (article 6.1.b du RGPD). Le lien prend fin automatiquement aux 18 ans de l'enfant.

Données de santé

Glycémies, doses d'insuline, repas, activité physique, poids, HbA1c, tension artérielle, fréquence cardiaque, hydratation, humeur, sommeil, cycle menstruel, contrôles de cétones, nombre de pas quotidien si vous activez la carte Marche, traitement en cours, stock de matériel et dates de péremption, rendez-vous médicaux, documents médicaux que vous importez, contacts d'urgence et professionnels de santé, voyages et check-lists, les repas habituels que vous enregistrez (le nom que vous leur donnez, la liste de leurs aliments avec leurs grammes de glucides et les notes libres que vous y écrivez ; aucune photo n'y est jamais conservée), et vos recettes (leur nom, leurs ingrédients avec leurs quantités, ce qu'elles donnent en poids ou en parts, et les notes libres que vous y écrivez ; aucune photo n'y est jamais conservée).

Finalité : vous permettre de tenir votre suivi et de le partager avec qui vous voulez. Base légale : votre consentement explicite, recueilli à l'inscription (article 9.2.a du RGPD).

Vos pas (facultatif)

Si vous activez la carte Marche, l'application lit le nombre de pas que votre téléphone a déjà comptés : dans l'app Santé sur iPhone, dans Connexion Santé sur Android. C'est votre téléphone qui compte, en permanence et pour lui-même ; l'application ne fait que venir lire ce total, avec votre accord.

Elle demande l'autorisation de lire vos pas, et rien d'autre : aucune autre donnée présente dans votre coffre santé n'est consultée (poids, fréquence cardiaque, sommeil, cycle…), et rien n'y est jamais écrit. Ce que nous conservons est un total par journée, pas un relevé de vos déplacements : aucun horaire, aucun trajet, aucune position. L'application ne demande aucune autorisation de géolocalisation, pour aucune de ses fonctions.

Cette fonction ne s'active jamais sans votre accord explicite, demandé au moment où vous ouvrez la carte. Vous pouvez le retirer quand vous voulez depuis les réglages santé de votre téléphone, sans passer par nous.

Finalité : afficher vos journées de marche dans votre cahier de santé. Base légale : votre consentement explicite (article 9.2.a du RGPD).

Photos de repas (facultatif)

Si vous utilisez l'estimation des glucides par photo, la photo du repas et la description que vous en écrivez sont envoyées à un prestataire d'analyse pour en estimer la teneur en glucides. Cette fonction ne s'active jamais sans votre accord explicite, demandé lors de la première utilisation et retirable à tout moment dans les réglages.

Le scan du code-barres d'un produit emballé, lui, n'envoie aucune image : il ne transmet que le code lu, et fonctionne même si vous refusez l'analyse par photo.

Finalité : estimer les glucides d'un repas. Base légale : votre consentement explicite, distinct de celui recueilli à l'inscription (article 9.2.a du RGPD).

Questions à Hyppo tuteur (facultatif)

Dans un programme de l'Académie que vous possédez, vous pouvez « lever la main » pendant une leçon : Hyppo vous répond une fois, à partir du texte de cette leçon. Votre question (ou le choix que vous avez fait parmi ceux proposés) est alors envoyée à un prestataire d'analyse, avec le texte de la leçon et le sommaire du programme, qui sont le contenu du programme et non des données vous concernant. Une question tapée librement peut contenir une information de santé, la vôtre ou celle de votre enfant. Si votre question concerne votre enfant, c'est en tant que titulaire de l'autorité parentale que vous donnez cet accord pour lui : l'application vous invite à n'écrire ni son nom ni un détail permettant de le reconnaître, et aucun identifiant (ni le vôtre, ni le sien) n'accompagne la question. Cette fonction ne s'active jamais sans votre accord explicite, demandé la première fois que vous levez la main, et retirable à tout moment dans les réglages, rubrique Personnalisation. Sans cet accord, le programme reste entièrement accessible.

L'application ne conserve ni votre question, ni la réponse d'Hyppo : ni sur nos serveurs, ni sur votre téléphone. Elle garde seulement, pour chaque programme, le nombre de questions que vous avez posées, afin d'appliquer les quotas, ainsi que la date et la version du texte de votre accord. Nos journaux techniques enregistrent des mesures (le type de question, le numéro de la leçon, la taille et la durée de la réponse), jamais le texte de la question ni celui de la réponse.

Hyppo tuteur n'est pas un avis médical : il ne donne jamais de dose, de seuil, ni de conduite à tenir. Une question qui porte sur un traitement personnel, une situation en cours ou une détresse reçoit un texte écrit à l'avance et validé par l'éditeur, qui vous renvoie vers votre équipe soignante ou les secours.

Finalité : expliquer le contenu d'une leçon d'un programme de l'Académie. Base légale : votre consentement explicite, distinct de celui recueilli à l'inscription et de celui de l'estimation des glucides par photo (article 9.2.a du RGPD).

Écrits personnels

Vos réponses aux parcours guidés, votre journal intime et les échanges du Cahier de Vie.

Ces contenus ne sont lus par personne, ne sont partagés avec personne et ne servent à aucune analyse. Base légale : votre consentement explicite, car ils peuvent révéler votre état de santé psychique.

Programmes de l'Académie

Les programmes que vous avez achetés (avec la référence de l'achat, fournie par la boutique), votre progression (leçons lues, quiz terminés), vos réponses aux exercices des travaux dirigés, et les mots du Lexique que vous rangez dans vos listes.

Finalité : vous donner accès à ce que vous avez acheté et vous permettre de reprendre là où vous en étiez, sur n'importe quel appareil. Base légale : exécution du contrat (article 6.1.b). Les réponses aux travaux dirigés portent sur des exemples de repas fournis par le programme (des grammes de glucides), pas sur vos propres repas : ce ne sont pas des données de santé. Votre progression n'est lue par personne et ne sert à aucune analyse.

Cafétéria (espace d'échange)

Pseudonyme, avatar, messages publiés, images envoyées, réactions, votes aux sondages, amitiés, blocages et signalements. Vos messages sont visibles des autres membres de votre table. Le pseudonyme est libre : l'application ne révèle jamais votre identité civile aux autres membres.

Base légale : votre consentement explicite, ces échanges portant par nature sur la santé.

Sécurité du compte

À chaque connexion, nous enregistrons votre adresse IP, le type d'appareil et un journal des événements de compte (inscription, connexion, échec de connexion, changement de mot de passe).

Finalité : détecter et bloquer les tentatives d'accès frauduleux. Base légale : intérêt légitime (article 6.1.f). Ce journal ne contient aucune donnée de santé, aucun mot de passe et aucun code.

4. Ce que nous ne faisons pas

Cette liste compte autant que la précédente. Elle est vérifiable : elle décrit l'absence de tout outil tiers dans l'application.

• Aucun traceur publicitaire, aucune mesure d'audience, aucun profilage. L'application ne contient ni Google Analytics, ni aucun SDK publicitaire. Deux composants signés Google y figurent, et aucun des deux ne vous suit : celui qui achemine les notifications jusqu'à votre téléphone, décrit plus bas, et le lecteur de codes-barres, qui fonctionne entièrement sur l'appareil et n'envoie rien nulle part.
• Aucune vente, location ou partage de vos données à des tiers, à quelque fin que ce soit.
• Aucune géolocalisation.
• Aucun accès à votre carnet d'adresses, à vos photos (hors import volontaire d'un document), au micro ou à la caméra en arrière-plan.
• Aucune décision automatisée produisant des effets à votre égard.
• Aucune exploitation de vos données à des fins de recherche, de statistique ou d'entraînement d'intelligence artificielle.

5. Où vos données sont hébergées

Vos données de santé sont hébergées en France, chez des prestataires certifiés HDS. Deux exceptions existent, et chacune ne se produit que si vous l'avez explicitement acceptée : la photo d'un repas que vous choisissez de faire analyser, et la question que vous posez à Hyppo tuteur dans une leçon de l'Académie, quittent l'Union européenne le temps de leur analyse. Tout le reste — glycémies, traitements, documents, écrits — demeure en France.

La certification HDS (Hébergeur de Données de Santé) est délivrée par un organisme indépendant et impose un niveau d'exigence spécifique à la donnée médicale. Nous l'avons retenue dès la conception, sans attendre d'y être contraints par la taille du service.

Six prestataires traitent des données hors de l'Union européenne. Un seul d'entre eux peut recevoir une donnée de santé que vous avez saisie : Anthropic Ireland, dans les deux cas décrits ci-dessous, et uniquement si vous le lui avez permis. Les cinq autres n'en reçoivent pas, avec une nuance pour Google et Apple, expliquée plus bas : le texte d'une notification peut nommer ce que vous avez vous-même réglé.

Anthropic Ireland intervient pour deux fonctions facultatives, qui reposent chacune sur un accord distinct :

• l'estimation des glucides d'un repas, à partir de la photo et de la description que vous en écrivez ;
• les réponses d'Hyppo tuteur dans une leçon de l'Académie, à partir de votre question (ou du choix que vous avez fait), du texte de la leçon et du sommaire du programme. Si la réponse prévue est refusée par un contrôle de sécurité, la question peut être transmise automatiquement à un autre modèle du même prestataire : elle ne sort pas de chez Anthropic.

Ces traitements n'ont lieu que si vous les avez explicitement acceptés, chacun séparément, et ce sont les seuls de cette page qui peuvent porter sur une donnée de santé hors de l'Union européenne. Notre contrat est conclu avec l'entité irlandaise du groupe ; l'analyse elle-même est effectuée aux États-Unis. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne.

Ce prestataire s'engage contractuellement à ne jamais utiliser vos photos, vos descriptions ni vos questions pour entraîner ses modèles, et les supprime sous 30 jours. Une exception doit être connue : si un contrôle automatique de sécurité signale une requête, celle-ci peut être conservée jusqu'à deux ans, et le résultat de ce contrôle jusqu'à sept ans. L'application, elle, ne conserve aucune photo de repas (ni sur nos serveurs, ni sur votre téléphone après l'envoi) et aucune question posée à Hyppo tuteur, ni aucune de ses réponses (ni sur nos serveurs, ni sur votre téléphone). La liste des sous-traitants de ce prestataire est publiée sur anthropic.com/subprocessors.

Vous pouvez retirer chacun de ces accords à tout moment, dans les réglages de l'application, rubrique Personnalisation. Le scan des codes-barres, qui n'envoie aucune image, continue alors de fonctionner, et les programmes de l'Académie restent entièrement accessibles sans Hyppo tuteur.

RevenueCat vérifie auprès d'Apple et de Google qu'un abonnement au Blason d'Or est bien actif, et qu'un programme de l'Académie a bien été payé. Il reçoit uniquement un identifiant de compte et les informations de l'achat (produit, dates, renouvellement, remboursement éventuel). Il ne sait pas quel programme vous avez choisi ni où vous en êtes. Aucune donnée de santé ne lui est transmise : ni glycémie, ni traitement, ni document, ni message. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne. Si vous ne souscrivez pas d'abonnement et n'achetez aucun programme, aucune information vous concernant ne lui est transmise.

Google et Apple acheminent les notifications jusqu'à votre téléphone, si vous les avez activées. C'est le seul chemin possible : sur Android comme sur iPhone, aucune application ne peut envoyer de notification sans passer par le service de son système. Ils reçoivent un identifiant technique de votre appareil et le texte affiché. Ce texte peut nommer ce que vous avez vous-même réglé — votre réveil, votre injection d'insuline lente — mais il ne contient jamais un chiffre de votre carnet (glycémie, dose, stock) et jamais les mots d'une autre personne : un message reçu à la Cafétéria vous est annoncé par un compteur, pas par son contenu. Si vous n'activez pas les notifications, aucun identifiant n'est enregistré et rien ne leur est transmis. Couper les notifications supprime cet identifiant.

OpenWeather (Royaume-Uni) et Open-Meteo (Suisse) font fonctionner la page Météo : le premier donne les prévisions, le second retrouve une ville quand vous commencez à taper son nom. Ils reçoivent uniquement le nom de la ville que vous avez saisie et la langue de l'application — jamais votre identité, jamais une donnée de santé. L'application ne demande aucune autorisation de géolocalisation : la ville est tapée à la main, votre position n'est jamais lue. Ces requêtes partent directement de votre téléphone, ce qui expose votre adresse IP à ces deux services, comme toute visite d'un site web. Le Royaume-Uni et la Suisse bénéficient d'une décision d'adéquation de la Commission européenne, qui reconnaît à ces pays un niveau de protection équivalent au nôtre. Si vous ne renseignez jamais de ville, aucune requête n'est envoyée.

6. Combien de temps nous les gardons

Le délai de 3 ans tient compte d'un usage réel : vous pouvez vous servir de l'application uniquement pour conserver vos documents médicaux, sans rien y écrire pendant des mois. Une seule connexion remet le compteur à zéro.

Un compte qui a acheté un programme de l'Académie n'est jamais supprimé pour inactivité. Ce programme vous est vendu avec un accès à vie : le supprimer au bout de trois ans reviendrait à vous reprendre ce que vous avez payé. Le contrat d'achat justifie alors la conservation de votre compte. Vous gardez à tout moment la possibilité de le supprimer vous-même.

7. Supprimer votre compte

La suppression est immédiate et définitive. Il n'y a ni corbeille, ni période de grâce, ni conservation « anonymisée » : toutes vos données sont effacées de nos serveurs au moment où vous confirmez, y compris vos messages de Cafétéria et vos journaux de connexion.

Une seule réserve, que nous préférons énoncer clairement : nos sauvegardes chiffrées, destinées à faire face à un incident majeur, conservent une image de la base pendant leur durée de rotation, soit jusqu'à 12 mois pour les sauvegardes mensuelles. Ces sauvegardes ne sont jamais consultées en fonctionnement normal, et ne seraient jamais utilisées pour restaurer un compte supprimé. Elles s'effacent ensuite d'elles-mêmes.

Si vous avez acheté des programmes de l'Académie, ils sont supprimés avec votre compte et ne peuvent pas être restaurés sur un nouveau compte.

La marche à suivre est détaillée sur la page Suppression de compte.

8. Vos droits

Vous disposez des droits suivants sur vos données, que vous pouvez exercer à tout moment :

• Accès : obtenir une copie des données vous concernant.
• Rectification : corriger une donnée inexacte, directement dans l'application. Une seule exception : votre date de naissance, qui n'est pas modifiable depuis l'application. Elle commande l'accès à des espaces réservés aux majeurs ou aux 16-17 ans ; si chacun pouvait la changer librement, ces limites d'âge ne protégeraient plus personne. Vous pouvez bien sûr la faire corriger : écrivez-nous, nous vous demanderons une pièce d'identité, que nous consultons puis détruisons immédiatement sans en conserver de copie.
• Effacement : supprimer votre compte et toutes vos données.
• Portabilité : récupérer vos données dans un format lisible. L'application vous permet d'exporter votre carnet et votre suivi de santé en PDF, et toutes vos données dans un fichier depuis votre profil (« Exporter mes données »), sans rien nous demander.
• Limitation et opposition : demander le gel d'un traitement ou vous y opposer.
• Retrait du consentement : à tout moment, sans avoir à vous justifier. Le retrait ne remet pas en cause ce qui a été fait avant.

Pour exercer ces droits, écrivez à contact@diabetecampus.com. Nous répondons sous un mois. Nous pouvons vous demander de confirmer votre identité : c'est ce qui empêche quelqu'un d'autre de réclamer vos données de santé à votre place.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

9. Âge minimum et mineurs

L'inscription est ouverte dès 13 ans. En dessous, elle est refusée et aucune donnée n'est conservée.

De 13 à 15 ans, l'accord d'un parent est nécessaire avant que la moindre donnée de santé puisse être enregistrée. Nous avons retenu le seuil de 16 ans dans tous les pays, au-dessus des seuils fixés par chaque droit national. Le parent donne son accord de l'une de deux façons : en ouvrant le lien que nous lui envoyons par email, qui lui explique ce qui est enregistré, où, et ce que son accord implique ; ou, s'il est déjà membre, en donnant à son enfant un code que celui-ci saisit. Tant que l'accord n'est pas donné, le compte reste vide ; sans réponse sous 30 jours, il est supprimé.

Le parent peut retirer son accord à tout moment, avec le même lien. Le compte de l'enfant est alors suspendu : il dispose de 30 jours pour récupérer ses données, et le parent peut revenir sur sa décision pendant ce délai. Sans nouvel accord, le compte est ensuite supprimé. À 16 ans, l'accord cesse d'être nécessaire.

Ce que l'accord ne donne pas : l'accès au carnet de l'enfant, qui reste privé, y compris vis-à-vis de ses parents. C'est un choix délibéré : un adolescent qui se sait lu ne note pas ce qu'il vit vraiment.

Avant 16 ans, quatre fonctions restent fermées : l'abonnement, l'estimation des repas par photo (le scan des codes-barres reste ouvert), Hyppo tuteur dans les leçons de l'Académie et la lettre d'information. La Cafétéria, espace d'échange entre membres, est ouverte dès 16 ans : les membres de 16 et 17 ans y sont accueillis à des tables qui leur sont réservées, séparées de celles des adultes. Votre date de naissance sert à vous placer à la bonne table.

Une version courte et claire de cette politique, écrite pour les plus jeunes, est disponible en cinq langues : Tes données, expliquées simplement.

Si vous constatez qu'un compte a été créé par une personne plus jeune, signalez-le nous : nous le supprimerons.

10. Sécurité

Les échanges entre l'application et nos serveurs sont chiffrés. Les mots de passe sont transformés par une fonction de hachage moderne conçue pour résister aux attaques par force brute : nous ne pouvons pas les lire, et une éventuelle fuite de la base ne les révélerait pas. Les codes de vérification envoyés par email sont protégés de la même façon. Vos données sont cloisonnées par compte, et vous pouvez révoquer à tout moment les sessions ouvertes sur un appareil perdu.

Aucun système n'est parfaitement inviolable. En cas de violation susceptible d'engendrer un risque pour vos droits, nous en informerons la CNIL sous 72 heures et vous préviendrons directement.

11. Modification de cette politique

Toute modification de fond fera l'objet d'une nouvelle version, datée, et vous sera présentée dans l'application pour une nouvelle acceptation. Nous conservons la trace de la version que vous avez acceptée et de la date à laquelle vous l'avez fait.

12. Nous contacter

Pour toute question sur cette politique ou sur vos données : contact@diabetecampus.com.