Version 8 · 14 septembre 2026
Politique de confidentialité
1. Le principe, avant tout le reste
Les données de santé ne quittent jamais l'appareil.
GutQuest accompagne le protocole pauvre en FODMAP, suivi par des personnes atteintes du syndrome de l'intestin irritable. Ce qu'une personne y consigne, ses tests, ses ressentis, ses symptômes, ses seuils de tolérance, révèle son état de santé. La réponse retenue n'est pas de mieux protéger ces données sur un serveur : c'est de ne pas les y mettre.
L'application sépare donc deux mondes étanches.
| Monde | Où | Contenu | Qui peut le lire |
|---|---|---|---|
| Privé | base SQLite chiffrée, sur l'appareil | tests, jours de test, ressentis, état du ventre, symptômes, seuils personnels, favoris, célébrations, réglages | la personne seule |
| Public | Supabase, région Union européenne | catalogue des aliments et des recettes, compte, sauvegarde chiffrée opaque | le catalogue est public ; le compte se limite à une identité ; la sauvegarde est illisible, y compris pour l'éditeur |
Cette séparation est vérifiable dans le schéma : aucune table de santé n'existe côté serveur.
2. Qui traite les données
GutQuest est éditée par Emilie Thonat, responsable du traitement au sens du RGPD, joignable à contact@gut-quest.com.
3. Ce qui reste sur l'appareil, et que personne d'autre ne peut lire
| Donnée | Finalité | Catégorie |
|---|---|---|
| Test d'un aliment, jours de test, portion du jour | Conduire la réintroduction aliment par aliment | Donnée de santé, art. 9 RGPD |
| Ressenti et état du ventre parmi 5 états | Observer ce que le corps dit après une prise | Donnée de santé, art. 9 RGPD |
| Symptôme et intensité de 1 à 3 | Déclencher la règle d'arrêt d'un test | Donnée de santé, art. 9 RGPD |
| Seuil personnel de tolérance par aliment | Restituer la portion tenable | Donnée de santé, art. 9 RGPD |
| Favoris, célébrations, phase en cours, réglages | Confort d'usage et continuité du parcours | Donnée personnelle |
Un prénom, facultatif, peut être saisi au moment de créer le compte. Il sert à ce que l'application dise bonjour, et il est le seul élément d'identité de cette base. Il vit dans les réglages, sur l'appareil, et il n'est pas rattaché au compte : celui-ci ne porte que l'adresse électronique. Le laisser vide n'empêche rien.
Une précision qui vaut pour toute cette section, et pour ce prénom comme pour le reste. Ces données ne sont transmises à personne en tant que telles. La seule façon dont elles peuvent quitter l'appareil est la sauvegarde chiffrée décrite plus bas : un bloc d'octets scellé sur le téléphone, que l'éditeur ne peut pas ouvrir, et qui n'existe que si la personne choisit de le déposer. Rien ne part jamais en clair.
GutQuest traite des données de santé au sens de l'article 9 du RGPD, même sans diagnostic médical rattaché au compte. Le journal de symptômes suffit à révéler l'état de santé de la personne.
Cette qualification relève du RGPD et n'implique pas que GutQuest soit un dispositif médical au sens du règlement (UE) 2017/745. L'application ne diagnostique rien, ne calcule aucun indice clinique, et se borne à restituer les observations de la personne. Les deux qualifications sont indépendantes : GutQuest relève de la première, pas de la seconde.
4. Ce qui est traité en ligne, et ce que cela contient
| Donnée | Finalité | Base légale |
|---|---|---|
| Adresse électronique | Rattacher une sauvegarde à une personne | Exécution du contrat, art. 6§1(b) |
| Sauvegarde chiffrée, sous forme d'un bloc opaque | Permettre de retrouver ses données après une perte d'appareil | Exécution du contrat, art. 6§1(b) |
| Catalogue des aliments et des recettes | Servir le référentiel commun | Intérêt légitime, art. 6§1(f), aucune donnée personnelle en jeu |
| Adresse électronique, le temps d'un envoi | Expédier les deux seuls courriels du produit : la confirmation d'adresse et le changement de mot de passe | Exécution du contrat, art. 6§1(b) |
Quatre points méritent d'être lus attentivement.
Le compte conditionne l'accès. Depuis le 5 septembre 2026, l'application ne s'ouvre qu'une fois un compte créé ou retrouvé. Cela se passe à la première prise en main, sur la carte qui recueille aussi le consentement, avant toute saisie de santé. Ce compte ne porte que l'adresse électronique, et il ne déplace rien : au premier lancement l'application tire une clé de chiffrement et ouvre sa base sur l'appareil, et c'est là que les données de santé restent.
Ce que cette exigence change, et ce qu'elle ne change pas. L'adresse devient nécessaire à l'exécution du contrat au sens de l'article 6§1(b), là où elle était auparavant un confort proposé dans les paramètres. Le consentement au traitement de santé, lui, reste un acte séparé : la case se présente sous le formulaire et le bouton ne s'active que cochée, de sorte que créer un compte ne vaut jamais consentement, et que cocher la case n'ouvre aucun compte.
La sauvegarde est illisible pour l'éditeur. Elle est chiffrée sur l'appareil, avant tout envoi, avec une clé dérivée d'une phrase secrète que la personne choisit elle-même. Cette phrase n'est jamais transmise, et l'éditeur ne la détient à aucun moment. Elle peut, au choix de la personne, être retenue par le magasin sécurisé du système sur son propre appareil, afin que la sauvegarde parte sans la redemander ; elle y reste consultable dans les Paramètres, et ne quitte pas l'appareil. Ce que l'hébergeur détient est un bloc d'octets sans signification.
La contrepartie est assumée et annoncée dans l'interface : une phrase perdue rend la sauvegarde définitivement illisible, y compris pour l'éditeur. C'est le prix de « personne d'autre que vous ne peut lire vos données ». L'application la retient et permet de la revoir et de la vérifier, ce qui rend l'oubli improbable sans le rendre impossible : elle disparaît avec l'appareil, et c'est pourquoi il vaut mieux la noter.
5. Base légale du traitement de santé
Le traitement des données de santé repose sur le consentement explicite de la personne concernée (art. 9§2(a) RGPD), recueilli séparément de l'acceptation des conditions d'usage, et horodaté sur l'appareil. Il se retire à tout moment depuis les Paramètres, section « Effacer mes données » : ce geste efface la base locale, la clé qui la déchiffre, le consentement lui-même et la sauvegarde en ligne. Le traitement cesse, et le compte reste. Le retrait n'affecte pas la licéité de ce qui a été traité avant lui.
Pourquoi le retrait prend cette forme (art. 7§3). Le traitement de santé n'est pas une option de l'application, il en est l'objet : il n'existe aucun état où elle fonctionnerait sans le faire. Se retirer, c'est donc effacer ce qui a été noté, et le geste le fait d'un seul tenant. Mais il ne coûte plus le compte : celui-ci reste, et rien n'interdit de recommencer plus tard en consentant de nouveau. Le retrait est ainsi aussi simple que l'accord l'a été, et l'export chiffré est proposé avant, pour que se retirer ne coûte pas les données.
Ce consentement reste libre, alors même que le compte est devenu obligatoire (art. 7§4). Les deux ne sont pas liés : le compte repose sur le contrat, article 6§1(b), et non sur le consentement, et l'on ne consent donc à rien en échange d'un accès. Quant au traitement de santé, il n'est pas une contrepartie greffée sur le service, il est le service demandé : une application qui note les ressentis, les repas et les tolérances ne peut pas les traiter à moitié. Refuser, c'est ne pas utiliser l'application, ce qui est la conséquence normale d'un refus portant sur l'objet même de la prestation, et non une pression exercée sur le choix.
6. Qui a accès aux données
Deux sous-traitants, et rien de plus.
| Sous-traitant | Rôle | Localisation | Ce qu'il détient |
|---|---|---|---|
| Supabase | Hébergement du catalogue public, de l'authentification et du bloc de sauvegarde | Union européenne | Une identité, et un bloc chiffré qu'il ne peut pas lire |
| Google (messagerie du domaine) | Acheminer les deux courriels de compte : confirmation d'adresse, changement de mot de passe | Union européenne et États-Unis | L'adresse destinataire et la date de l'envoi. Aucune donnée de santé : ces courriels ne nomment ni aliment, ni symptôme, ni seuil |
Ce que Google voit, et ce qu'il ne voit pas. Les courriels partent de l'adresse du domaine, servie par la messagerie de Google. Google achemine donc l'adresse à laquelle le message est adressé, et en garde une copie dans la boîte d'envoi de l'éditeur. Il n'y voit aucune donnée de santé : ces deux messages ne portent qu'une phrase sur le rôle du compte et un lien. Le fait même d'avoir ouvert un compte GutQuest est en revanche une information que cette copie conserve, et c'est la raison pour laquelle elle est déclarée ici plutôt que passée sous silence.
Personne d'autre. Aucun service tiers d'analyse d'audience, aucun traceur publicitaire, aucun outil de mesure comportementale, aucune notification poussée. Le rappel du ressenti n'en est pas une. Pendant un test, l'application programme sur le téléphone lui-même une notification locale, qui ne passe par aucun serveur et ne nomme ni aliment ni état. Elle demande la permission du système, qui se refuse sans rien bloquer, et les rappels se coupent à tout moment dans les Paramètres. Ce site lui-même ne charge aucune ressource extérieure et ne dépose aucun témoin de connexion.
Personnel interne. Aucun accès aux données de santé n'est possible, faute d'existence de ces données côté serveur. L'accès administrateur porte sur le catalogue public et sur la table des comptes. Le bloc de sauvegarde est protégé par une règle de sécurité au niveau des lignes limitant la lecture à son propriétaire, et elle ne protège qu'un contenu déjà chiffré.
7. Durée de conservation
Les données du monde privé sont conservées sur l'appareil aussi longtemps que la personne le décide. Elles disparaissent avec la désinstallation de l'application.
Les données du monde public sont conservées tant que le compte existe. La suppression du compte enchaîne, dans cet ordre et sans intervention humaine : proposition d'un export, suppression du bloc de sauvegarde distant, suppression du compte d'authentification, puis effacement de la base locale de l'appareil.
Une action, un résultat, et rien qui survive dans un coin.
8. Vos droits
Toute personne dispose des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de retirer son consentement.
L'architecture les rend directs plutôt que déclaratifs.
| Droit | Comment il s'exerce |
|---|---|
| Accès (art. 15) | Les données sont sur l'appareil, affichées par l'application elle-même |
| Rectification (art. 16) | Un seuil se corrige à la main, et l'application distingue une valeur corrigée d'une valeur vécue. L'adresse se change depuis les Paramètres, avec une confirmation envoyée à l'ancienne et à la nouvelle |
| Effacement (art. 17) | Deux gestes, selon la portée voulue. « Effacer mes données » efface la base locale, sa clé, le consentement et la sauvegarde en ligne, et garde le compte : plus rien à rapporter, mais l'application reste ouverte. « Supprimer le compte » y ajoute le compte. L'export est proposé avant les deux. La marche à suivre, y compris sans l'application |
| Portabilité (art. 20) | L'export chiffré produit un fichier au format documenté, structuré et lisible par machine une fois déchiffré |
| Opposition (art. 21), limitation (art. 18) | Le compte conditionnant l'accès, s'opposer revient à le supprimer (art. 17), ce qui met fin à l'usage. L'export est proposé avant. La limitation, elle, est déjà atteinte par construction : en ligne ne vivent qu'une adresse et un bloc que l'éditeur ne peut pas lire |
| Retrait du consentement (art. 7§3) | Paramètres, « Effacer mes données » : le consentement est effacé avec les données qu'il couvrait, et le compte reste |
L'export est systématiquement proposé avant une suppression de compte, et peut être refusé. C'est le seul filet avant l'effacement, et il porte la portabilité.
Pour toute demande qui ne pourrait pas être satisfaite depuis l'application : contact@gut-quest.com. Une réponse est apportée sous un mois.
Vous disposez enfin du droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 RGPD). En France, il s'agit de la Commission nationale de l'informatique et des libertés.
9. Sécurité
- Base locale chiffrée sur l'appareil, clé générée aléatoirement au premier lancement et conservée dans le magasin sécurisé du système (Keychain iOS, Keystore Android), jamais dans l'application.
- Sauvegarde chiffrée avant envoi, en XChaCha20-Poly1305, avec une clé dérivée par scrypt, fonction de dérivation à sel aléatoire depuis une phrase secrète choisie par la personne.
- Données en transit protégées par TLS.
- Catalogue exposé en lecture seule, aucune fonction sensible publiée.
- Minimisation : le compte ne porte qu'une identité, pas un profil.
10. Transferts hors Union européenne
Un seul, et il se limite à une adresse. L'hébergement des données reste situé dans l'Union européenne, et il n'existe aucun service de notification poussée. Le seul flux susceptible de sortir de l'Union est l'acheminement des deux courriels de compte par la messagerie de Google, dont l'infrastructure est mondiale. Ce qui transite alors est l'adresse électronique du destinataire et la date de l'envoi, jamais une donnée de santé.
Ce transfert est encadré par les clauses contractuelles types de la Commission européenne, que Google applique à ses services de messagerie professionnelle. Il n'a lieu qu'au moment d'un envoi, et cesse avec la suppression du compte, à ceci près que la copie conservée dans la boîte d'envoi de l'éditeur ne s'efface pas d'elle-même. Elle se supprime à la main, et la demander à l'adresse de contact déclenche cette suppression dans le délai d'un mois que prévoit l'article 12.3.
11. Modification de cette politique
Toute évolution de cette politique est publiée sur cette page, avec sa date. La version en vigueur est celle qui porte la date la plus récente en tête de page.