Section 1Qui est responsable

Section 2Le principe : votre appareil d’abord

M4Plan est conçu pour fonctionner sans nous. Les objectifs, le suivi, la nutrition, les séances, le poids, les photos, les widgets et le check-in bloquant marchent sur un appareil qui n’a jamais été connecté à un compte, dans les limites de la formule gratuite. Dans cette configuration, vos informations sont écrites dans l’espace de stockage privé de l’application, protégé par le système d’exploitation, et nous n’en recevons rien. Seules quelques requêtes techniques, sans lien avec elles, sortent de l’appareil : la vérification de version et les mises à jour de l’application à chaque ouverture, et Open Food Facts quand vous cherchez un aliment ou scannez un code (section 7). Un abonnement demande un compte : la boutique et notre prestataire d’abonnement traitent alors vos achats, comme le décrivent les sections 3 et 7.

Créer un compte ajoute quatre choses, et uniquement celles-là : la sauvegarde en ligne, la synchronisation entre vos appareils, l’accès à l’espace compte depuis un navigateur, et l’estimation nutritionnelle assistée. C’est à ce moment, et pas avant, que vos informations nous parviennent.

Section 3Ce que nous traitons

Le tableau suivant recense tout ce que M4Plan manipule. La colonne « où » indique la destination : « appareil » signifie que l’information ne nous parvient jamais.

Section 4Ce que nous ne faisons pas

• Nous ne vendons, ne louons et n’échangeons aucune information vous concernant.
• Nous n’affichons aucune publicité et ne travaillons avec aucune régie ni aucun courtier en données.
• Nous n’utilisons pas vos contenus pour entraîner un modèle d’intelligence artificielle, et nous l’avons contractuellement exclu avec notre prestataire.
• Nous ne collectons pas votre position précise, ni dans l’application, sauf avec votre autorisation sur une montre M4Plan : le GPS de la montre, pendant une course ou une sortie à vélo, sert au seul calcul de la distance, et aucun tracé n’est conservé. Si vous vous inscrivez au programme des premiers testeurs sur notre site, nous enregistrons seulement votre pays, déduit de l’adresse de connexion par notre hébergeur, pour savoir d’où viennent les inscrits. La langue est déduite des réglages de votre téléphone.
• Nous ne lisons ni la liste de vos autres applications, ni leur durée d’utilisation, ni vos contacts, ni vos messages. Le check-in bloquant s’affiche à l’intérieur de l’application, il n’observe rien.
• Nous ne consultons pas vos photos et vos notes. Techniquement, l’accès à un espace de stockage n’est pas nul ; en pratique, nous ne l’ouvrons pas, sauf obligation légale ou demande de votre part pour résoudre un incident.
• Nous ne suivons pas les personnes qui n’ont pas accepté la mesure d’usage.
• Les informations lues dans Health Connect ou dans Apple Santé ne sont transmises à aucun tiers, ne servent à aucune publicité et ne sont jamais envoyées au prestataire d’estimation nutritionnelle. Elles servent à afficher et suivre votre activité dans l’application, et une pesée importée compte, comme une pesée saisie, comme une action du jour dans la mesure de votre régularité : seul le fait qu’elle a eu lieu est retenu, jamais sa valeur.

Section 5Pourquoi, et sur quel fondement

Section 6Vos consentements, et comment les retirer

Plusieurs choses ne se déclenchent que si vous les acceptez. Retirer un consentement n’a aucun effet rétroactif sur ce qui a déjà été traité, et ne dégrade aucune autre fonction. Si vous êtes connecté, ces choix suivent votre compte d’un appareil à l’autre.

Ce qui est déposé sur votre appareil

Mesurer l’usage suppose d’écrire un identifiant sur l’appareil ou dans le navigateur. Rien n’y est écrit avant votre acceptation. Quand vous la retirez, l’envoi s’arrête aussitôt et l’identifiant n’est plus utilisé ; il reste sur l’appareil jusqu’à la désinstallation de l’application, ou jusqu’à ce que vous effaciez les données du site dans votre navigateur.

L’estimation nutritionnelle assistée n’a pas d’interrupteur séparé : elle ne s’exécute que lorsque vous l’appelez, et ce qui est envoyé est décrit dans la Politique d’usage de l’intelligence artificielle. Ne pas l’utiliser suffit à ce que rien ne parte.

Section 7Qui traite vos informations pour nous

Nous faisons appel à un petit nombre de prestataires, chacun lié par un accord de sous-traitance qui leur interdit tout usage propre, à l’exception de Google et d’Apple, qui agissent pour leur propre compte (distribution, encaissement, connexion, lecture des codes-barres). Aucun autre destinataire ne reçoit vos informations.

Section 8Transferts hors d’Europe

Votre compte et vos médias sont hébergés à Londres (Royaume-Uni), hors de l’Union européenne, sous le régime de la décision d’adéquation de la Commission européenne applicable à ce pays. Une copie ponctuelle et chiffrée de la base peut en outre être conservée par l’éditeur, en Suisse, 30 jours au plus (section 9). La mesure d’usage est stockée dans l’Union européenne, mais son prestataire est une société américaine, qui peut y accéder depuis les États-Unis pour faire fonctionner le service. Trois autres flux sortent d’Europe, tous limités. Le service de mise à jour de l’application (Expo) reçoit en outre, à chaque ouverture, des informations techniques (adresse IP, plateforme, version) sans lien avec votre compte. La lecture des codes-barres fait enfin intervenir Google (ML Kit), sur Android : quand vous scannez un code, il peut recevoir des informations techniques de diagnostic (modèle d’appareil, versions, identifiant propre à l’installation), sans lien avec votre compte, et les traite pour son propre compte, selon ses propres règles et en ses propres lieux de traitement.

Section 9Combien de temps nous gardons quoi

Section 10Sécurité

• Tout échange avec nos serveurs passe par une liaison chiffrée (TLS).
• Les informations stockées le sont sur une infrastructure chiffrée au repos par l’hébergeur.
• Chaque table qui contient des informations personnelles est protégée par une règle d’accès appliquée par le serveur : un compte ne peut lire que ses propres lignes, même si l’application était modifiée.
• Les photos et vidéos vivent dans un espace de stockage privé, sans accès public. Leur affichage passe par un lien signé qui expire au bout d’une heure.
• Les mots de passe ne sont jamais stockés en clair : seule une empreinte cryptographique est conservée par le service d’authentification.
• L’accès aux données de production est limité à l’éditeur, avec authentification à double facteur.
• Sur votre appareil, vos informations reposent dans l’espace privé de l’application, isolé par le système. Elles ne sont pas chiffrées par nos soins : la protection dépend du verrouillage de votre téléphone. Un appareil déverrouillé, prêté ou compromis expose son contenu.
• En cas de violation susceptible d’engendrer un risque, nous prévenons l’autorité de contrôle dans les 72 heures et, si le risque est élevé, nous vous prévenons directement.

Aucun dispositif n’est infaillible. Si vous soupçonnez un accès indésirable à votre compte, changez votre mot de passe et écrivez-nous.

Section 11Vos droits

Vous disposez des droits suivants, gratuitement et sans avoir à vous justifier :

• Accès : obtenir une copie des informations que nous détenons. L’export de l’application contient le contenu de votre application ; pour ce que nous tenons seulement côté serveur (abonnement, régularité, avantages, courriels envoyés), écrivez-nous.
• Rectification : corriger ce qui est inexact, directement dans l’application pour l’essentiel.
• Effacement : supprimer votre compte et son contenu. Supprimer une entrée la retire de l’application aussitôt ; sa trace de sécurité disparaît dans les délais de la section 9. Supprimer une photo ou une vidéo dans l’application ne supprime pas sa copie en ligne : elle est effacée avec votre compte.
• Limitation : demander le gel d’un traitement le temps d’une contestation.
• Opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et à tout moment à la prospection, en un clic depuis le lien présent dans chaque message concerné, dans les réglages de l’application ou en écrivant à m4plan.info@gmail.com.
• Portabilité : récupérer vos informations dans un format lisible par machine. L’export intégré y répond immédiatement.
• Retrait du consentement : à tout moment, sans effet sur le passé, dans les réglages.
• Directives post mortem : si vous résidez en France, définir le sort de vos informations après votre décès.

Écrivez à m4plan.info@gmail.com : nous répondons sous un mois, délai prolongeable de deux mois pour une demande complexe, auquel cas nous vous en informons. Nous pouvons demander un élément permettant de vérifier qu’il s’agit bien de votre compte.

Si notre réponse ne vous satisfait pas, vous pouvez saisir une autorité de contrôle : en France la CNIL, en Finlande le Bureau du médiateur pour la protection des données, en Suisse le Préposé fédéral à la protection des données et à la transparence, ou l’autorité de votre pays de résidence.

Section 12Supprimer votre compte

La suppression s’effectue depuis les réglages de l’application, sans nous écrire, et depuis une page dédiée du site si vous n’avez plus l’application. Votre compte est désactivé immédiatement, puis tout est effacé au bout de sept jours : si vous vous reconnectez pendant ce délai, la suppression est annulée et rien n’a été perdu. Passé ce délai, elle est définitive.

Sont supprimés : votre compte d’authentification, toutes vos lignes en base (objectifs, suivi, séances, repas, poids, points, badges, réglages, état de l’abonnement et son historique) et tous vos médias déposés dans l’espace privé. Nous supprimons également la fiche vous concernant chez notre prestataire de mesure d’usage, si vous en aviez une, ainsi que, sur simple demande, l’adresse que vous auriez laissée dans un formulaire du site. Supprimer le compte ne résilie pas un abonnement en cours : il se résilie auprès de la boutique.

Subsistent temporairement : l’historique de sécurité de votre sauvegarde, effacé avec le compte dans les délais de la section 9 ; les messages que vous nous auriez écrits, supprimés sur demande ; ce qu’une obligation légale nous imposerait de garder.

Ne sont pas touchées : les informations restées sur votre appareil. Effacez-les en désinstallant l’application ou en utilisant l’effacement local proposé dans les réglages. Pensez à exporter votre sauvegarde avant de supprimer quoi que ce soit.

Section 13Emporter vos informations

L’application produit à la demande un fichier de sauvegarde contenant le contenu de votre application, avec les photos et vidéos présentes sur cet appareil. Il ne contient pas ce que nous tenons seulement côté serveur (abonnement, régularité, avantages, courriels envoyés) : écrivez-nous pour le recevoir. Ce fichier n’est pas chiffré : traitez-le comme un document sensible, et évitez de le déposer sur un espace partagé.

Section 14Mineurs

Le service est réservé aux personnes de 16 ans et plus. Cette condition repose sur votre déclaration à la mise en route : nous ne vérifions pas votre âge et nous ne collectons pas sciemment les informations de personnes plus jeunes. Si vous constatez qu’un compte a été créé par une personne plus jeune, écrivez-nous : nous le supprimons sans délai.

Section 15Ce que les autres peuvent voir

Certaines fonctions affichent vos informations en dehors de l’application. Aucune ne les envoie à qui que ce soit, mais toutes les rendent visibles à qui regarde votre écran. Les widgets n’existent que sur Android.

• Les widgets montrent votre poids, vos objectifs du jour, vos calories restantes et vos rendez-vous du jour sur l’écran d’accueil, sans déverrouillage.
• Les notifications peuvent apparaître sur l’écran verrouillé, selon les réglages de votre téléphone, et peuvent alors montrer le titre d’un de vos objectifs, un poids que vous venez de saisir ou de recevoir de Health Connect ou d’Apple Santé, ou le résultat d’une séance. Réglez l’affichage des notifications sur l’écran verrouillé dans les réglages de votre téléphone si vous ne le souhaitez pas.
• Le rappel du check-in bloquant est une notification : il ne montre pas vos cases, qui ne s’affichent qu’une fois l’application ouverte.
• Un fichier de sauvegarde que vous partagez emporte tout votre contenu chez le destinataire.
• Pendant une séance, le nom de la séance et de l’exercice en cours s’affichent sur l’écran verrouillé : Live Activity et Dynamic Island sur iPhone, notification de séance sur Android.
• Une montre M4Plan reliée affiche vos informations (objectifs, pas, calories, série, rendez-vous) sur ses cadrans, tuiles et complications, sans déverrouillage : toute personne qui regarde votre poignet les voit.

Section 16Décisions automatisées

Nous ne prenons aucune décision produisant des effets juridiques ou vous affectant de manière significative sur la seule base d’un traitement automatisé, et nous ne faisons pas de profilage publicitaire. Les repères affichés par l’assistant nutritionnel sont un calcul appliqué aux valeurs que vous avez saisies, que vous pouvez remplacer. L’estimation d’un repas par intelligence artificielle est une proposition que vous relisez et validez avant enregistrement. La jauge de régularité et le niveau de rabais sont calculés automatiquement : ils n’ouvrent qu’un avantage, ne ferment aucun accès et ne s’appliquent que par un geste de votre part.

Section 17Modifications de cette politique

Nous mettons cette politique à jour lorsque l’application évolue. Une modification substantielle, notamment un nouveau prestataire ou une nouvelle finalité, vous est annoncée avant son entrée en vigueur, dans l’application, sur m4plan.app ou par courriel, avec un préavis d’au moins 30 jours lorsqu’elle réduit vos droits. Votre accord vous est redemandé à l’ouverture de l’application qui porte le nouveau texte, et votre consentement lorsqu’il est nécessaire. La version en vigueur et sa date figurent en tête du document, et les versions précédentes restent disponibles sur demande.

Section 18Nous écrire

Pour toute question, demande d’exercice de droits ou réclamation : m4plan.info@gmail.com. Nous accusons réception et répondons sous un mois.